Sin ordenador o dispositivos móviles, el joven autista recurrió al Fire TV Stick de la televisión (un aparato de Amazon que convierte cualquier televisor en inteligente) para comprar un teclado, un ratón y un teléfono con los que llevó a cabo su hackeo “más audaz”, según la fiscalía británica: la filtración de 90 vídeos del GTA 6, el título aún inédito de una de las sagas de videojuegos más populares y rentables del mundo. Rockstar Games, su desarrolladora, se había negado a aceptar las condiciones de la extorsión para impedir su salida a la luz.      

Tres detenciones

La Policía británica había detenido ya dos veces a Kurtaj antes de pillarle “in fraganti” intentando extorsionar a Rockstar desde la habitación del hotel. El joven estaba allí por su propia seguridad ya que, antes de su segunda detención, en marzo de 2022, sufrió un ataque de “doxing” por parte de ciberdelincuentes rivales.

Su nombre, el de sus familiares, su lugar de residencia, su edad, su centro de estudios y enlaces a sus redes sociales fueron publicados en una conocida página que los hackers utilizan para colgar esta información. Fue entonces cuando la historia de Kurtaj comenzó a hacerse pública: el líder de Lapsus$, un grupo que había traído de cabeza a fuerzas de seguridad y especialistas en ciberseguridad de todo el mundo por su extraordinaria capacidad de penetrar en los sistemas de multinacionales tecnológicas y realizar ataques de alto nivel, era un menor de 16 años con autismo que vivía en Oxford en la casa de sus padres de origen albanés y que colgaba habitualmente fotos de las excursiones de pesca que le gustaba hacer con su tío.      

 La primera detención de Kurtaj se produjo en enero de 2022. El joven y su compañero, aún menor de edad, estaban relacionados con sendos intentos de extorsión contra BT, el operador de telefonía británico, al que exigieron cuatro millones de dólares a cambio de no filtrar los datos que le habían robado. La empresa se negó, pero los dos adolescentes utilizaron los datos para hackear cinco cuentas de criptomonedas utilizando las tarjetas SIM comprometidas de clientes de BT, consiguiendo unos 100.000 dólares, informa la BBC.

Tras su puesta en libertad, empezó la verdadera oleada de ciberataques por parte de Lapsus$. En cuestión de dos meses, el grupo robó información e intentó extorsionar al fabricante de chips Nvidia, Microsoft, T-Mobile, Samsung, Vodafone, la tecnológica Globant, a la desarrolladora de videojuegos Ubisoft o al portal de comercio electrónico argentino Mercado Libre. 

A Kurtaj y su compañero, no obstante, la policía británica solo ha podido relacionarlos con el hackeo contra Nvidia, del que han sido hallados culpables en su juicio. El proceso no ha podido dictaminar cuánto dinero ganó Lapsus$ con estos ataques, aunque la fiscalía considera que su objetivo principal no era solo el económico, sino también la notoriedad y, en ocasiones, el simple troleo. Kurtaj se ha negado a conceder acceso a la policía a su monedero de criptomonedas.

Se considera que sus acciones acarrearon millones de dólares en pérdidas a las compañías que los sufrieron ya que, además del inédito GTA, Lapsus$ también publicó información de un nuevo teléfono de Samsung así como información confidencial de Nvidia.     

Desde un hotel

Tras su segunda detención y con su identidad y datos de contacto expuestos en Internet, las autoridades británicas decidieron enviar a Kurtaj en libertad bajo fianza a un hotel de una estrella en Bicester, 18 km al oeste de Oxford. El joven tenía prohibido conectarse a Internet y se le requisaron todos los dispositivos electrónicos, pero no fue suficiente. El joven se valió del Fire TV Stick para seguir hackeando.

En apenas unos días, Kurtaj atacó Uber y publicó en Internet su información financiera. Luego hackeó a la firma de pagos electrónicos Revolut. Después fue a por Rockstar y tras el fracaso de su extorsión, filtró todo el material del GTA 6 que había podido conseguir que, además de los vídeos, incluía parte del código fuente del propio juego. Tras esto se produjo su última detención, luego de la cual ya no volvió a quedar en libertad. Además del menor de 17 años que también fue detenido y ha sido juzgado, se cree que los demás miembros de Lapsus$ siguen en libertad.     

El principal abogado de la acusación denuncia que Kurtaj y sus cómplices mostraron en repetidas ocasiones un “deseo juvenil de señalar con el dedo a aquellos a los que atacaban”. Se basan en los habituales insultos contra los trabajadores que proferían en los sistemas internos de comunicación de las empresas una vez que penetraban en ellos, así como la necesidad de vanagloriarse de sus acciones y dejar en ridículo a las firmas en el canal de Telegram del grupo. La defensa de los jóvenes alegó que eran solo adolescentes irresponsables que buscaban divertirse.

A falta de saber el futuro inmediato de Kurtaj, la cadena de ciberataques de Lapsus$ deja una serie de enseñanzas sobre puntos débiles en la seguridad de las grandes empresas y especialmente en las medidas de identificación de sus trabajadores, el método preferido del grupo para penetrar en ellas.     

Fuentes:

https://www.eldiario.es/tecnologia/adolescente-desato-gran-oleada-hackeos-2022-lanzo-ultimo-ataque-usando-television_1_10470352.html