O jovem responsável pelo vazamento do lançamento de um dos jogos mais esperados do ano na internet, o gameplay GTA 6, pode passar o resto da vida internado em um hospital psiquiátrico. Foi essa a sentença dada na última quinta-feira (21) a Arion Kurtaj, de 18 anos de idade, apontado como o autor de ataques digitais contra a desenvolvedora de jogos Rockstar, além do envolvimento com bando que invadiu empresas como Uber, Nvidia, LG e até o Ministério da Saúde brasileiro.

Antes mesmo da divulgação oficial do trailer de Grand Theft Auto VI (GTA 6), aqui e aqui o título foi alvo de consideráveis vazamentos. Arion Kurtaj de 18 anos e residente de Oxford, cidade da Inglaterra, foi o responsável por hackear os servidores da Rockstar Games e liberar 90 clipes de gameplays inéditos de GTA 6. Membro do grupo de hackers Lapsus$, ele foi condenado pela justiça a cumprir a sentença em internação hospitalar por tempo indefinido.

O garoto, que tem diagnóstico de autismo, estava preso desde agosto, período durante o qual chegou a apresentar episódios violentos. Por conta disso, ele não compareceu ao julgamento que o considerou culpado de ataques cibercriminosos às empresas de tecnologia, com prejuízos de mais de US$ 10 milhões pelo vazamento de informações confidenciais.

Na visão da juíza Patricia Lees, que proferiu a sentença, Kurtaj é habilidoso e permanece representando um risco à sociedade, motivo pelo qual sua internação é indefinida. Ela pode ser perpétua, a não ser que um médico, em algum momento, julgue que ele não é mais perigoso, quando poderá entrar com um pedido de liberdade condicional.

A defesa do garoto afirmou que, apesar da invasão, o vazamento das informações de Grand Theft Auto VI não teria causado grandes prejuízos à Rockstar, que chegou a bater recorde de visualizações do trailer de anúncio do game no YouTube. A desenvolvedora, entretanto, afirmou estimar os prejuízos oriundos do golpe em US$ 5 milhões, tanto em dano reputacional quanto na recuperação dos sistemas enquanto os funcionários não conseguiam trabalhar.

Jovem atacou Rockstar usando um Fire TV Stick

Foi durante um período de liberdade condicional, aliás, que Kurtaj invadiu os servidores da Rockstar. Enquanto estava detido em um hotel de Oxford, no Reino Unido, ele usou um dispositivo Fire TV Stick, da Amazon, um televisor e seu celular para o ataque, que levou ao vazamento de mais de 90 clipes da jogabilidade de Grand Theft Auto VI.

Antes de publicar as cenas e o código-fonte de games antigos da Rockstar, ele usou o mensageiro Slack, da própria companhia, para informar sobre a invasão e pedir um contato em até 24 horas. A ideia, segundo a justiça, era extorquis a desenvolvedora, cobrando altas somas em dinheiro para não divulgar as informações obtidas — um comportamento similar aos ataques de ransomware — técnica de ataque hacker que sequestra os dados dos servidores da vítima —, mas, nesse caso, sem o travamento dos sistemas internos.

A intenção criminosa foi um ponto-chave do julgamento de Kurtaj e também de um garoto de 17 anos, igualmente acusado de fazer parte do grupo cibercriminoso Lapsus$. O adolescente foi condenado a um ano e meio de prisão em um centro de reabilitação de menores; ambos também foram indiciados pela perseguição e abuso online de jovens, garotas cujos casos não foram revelados em detalhes.

Para a juíza Patricia Lees, o vazamento do game foi apenas o mais divulgado dos ataques que Kurtaj realizou ao lado do chamado grupo Lapsus$. Empresas como LG, Samsung e Nvidia, além órgãos governamentais de diversos países do mundo. No Brasil, por exemplo, os ataques atingiram a Polícia Rodoviária Federal, o Ministério da Economia e a Controladoria-Geral da União, além do Ministério da Saúde. Na ocasião, o app ConecteSUS chegou a ficar semanas fora do ar.

A prisão dos jovens aconteceu a partir de um trabalho conjunto de autoridades dos EUA e do Reino Unido; no Brasil, um indivíduo acusado de pertencer ao Lapsus$ também foi preso. A quadrilha agiu entre 2021 e 2022, mas não se sabe exatamente quanto seus membros lucraram, uma vez que as empresas atingidas não confirmaram o pagamento de resgates.

* Reportagem: Val-André Mutran – Correspondente do Blog do Zé Dudu em Brasília.