El hacker adolescente que burló su confinamiento para filtrar el codiciado GTA VI / The teenage hacker who defied his confinement to leak the coveted GTA VI [Esp / Eng]

Nintenderos

Versión en español

En septiembre de 2022, el mundo gamer se sorprendió al ver que circulaban por internet imágenes y videos con gameplay del esperadísimo videojuego Grand Theft Auto VI, próximo lanzamiento de la desarrolladora Rockstar Games. Este material confidencial sólo podía provenir de una fuente: un hackeo monumental.

Detrás de esta filtración sin precedentes se encontraba un joven hacker británico de 17 años, que operaba bajo el alias "TeaPotuberHacker". Mediante engaños y aprovechando vulnerabilidades, había logrado infiltrarse en los sistemas internos de Rockstar y hacerse con una enorme cantidad de datos sensibles sobre GTA VI, incluyendo prototipos jugables.

Pero este no era el primer golpe del ahora tristemente célebre TeaPot. Meses antes, junto a un grupo de jóvenes hackers conocido como Lapsus$, había perpetrado exitosos ataques a compañías tecnológicas como Nvidia, Microsoft, Samsung y MercadoLibre. E incluso mientras se encontraba bajo arresto domiciliario, continuó hackeando blancos como Uber, Rockstar y hasta la policía londinense.

De hackers "de bajo nivel" a ciberdelincuentes buscados por el FBI

¿Cómo pudo un adolescente autodidacta convertirse en una de las mentes criminales más temidas de internet? Todo comenzó con Arios Kurtaj, nombre real de TeaPot, interesándose en la programación y el hacking relativamente inocuo junto a un amigo en un foro underground.

Poco a poco fueron escalando en sus habilidades hasta comenzar a robar datos personales y criptomonedas. Finalmente llamaron la atención de Lapsus$, un grupo élite de hackers, al piratear los sistemas de dos grandes proveedores de internet y telefonía del Reino Unido.

De la mano de Lapsus$, Kurtaj pasó a participar en ciberataques a escala global, afectando a compañías de la talla de Microsoft y Nvidia. Su golpe maestro fue el hackeo a Rockstar en 2022, que lo puso en el radar del FBI por haber comprometido datos confidenciales de una empresa estadounidense.

Ingeniería social y "dedicación": las claves del éxito de TeaPot

Aunque poseedor de grandes habilidades técnicas, TeaPot no dependía únicamente de complejos exploits o malware para penetrar sistemas. Gran parte de su éxito se debía a un agudo ingenio para la "ingeniería social": manipular psicológicamente a empleados hasta que revelaran contraseñas u otorgaran accesos.

Por ejemplo, para hackear Nvidia TeaPot y Lapsus$ bombardearon de llamadas al staff hasta que un empleado distraído les dio paso. En Uber, robaron credenciales de un proveedor externo mediante phishing dirigido.

Pero sin duda TeaPot también poseía una implacable ética hacker y dedicación obsesiva. Usaba seudónimos y constantemente borraba sus huellas para evitar ser detectado. Y aún estando prácticamente incomunicado en un hotel, logró seguir hackeando sólo con un móvil, teclado y dispositivos simples como un Amazon Fire Stick.

Fue así como TeaPot, en arresto domiciliario en un hotel, pudo infiltrarse en los sistemas de Rockstar mediante la conexión a internet de un Amazon Fire Stick y algunos periféricos portátiles. Este ingenioso uso de herramientas cotidianas para burlar su aislamiento tecnológico demuestra su extraordinario talento para aprovechar vulnerabilidades y recursos limitados.

Filtraciones y grandes pérdidas económicas

Además de comprometer datos confidenciales como código fuente, los ataques de Lapsus$ y TeaPot causaron graves perjuicios económicos a sus víctimas.

Por ejemplo, del hackeo a los proveedores telefónicos británicos EE y BT, los hackers se beneficiaron con más de 1 millón de libras esterlinas en fraudes con tarjetas SIM. También provocaron la pérdida de 20 millones de dólares a la fintech Revolut mediante reembolsos fraudulentos.

La filtración de GTA VI, por su parte, no tuvo un impacto monetario directo. Pero la exposición de material sensible podría haber demolido la estrategia de expectativa y marketing planeada por años por Rockstar.

Menores de edad y autistas: un limbo legal

Cuando finalmente fue detenido, TeaPot solo tenía 17 años, por lo que su identidad permanece en secreto. Tanto él como su compañero en Lapsus$ fueron evaluados como no aptos para enfrentar un juicio. Esto se debe a que uno de ellos es autista, es decir, presenta un trastorno del desarrollo neurológico y no una enfermedad mental. Debido a esta condición, no se les puede imputar un delito al carecer de capacidad para comprender sus actos.

No obstante, ambos quizás enfrenten medidas como restricción prolongada de libertad y acceso a dispositivos informáticos. Y aunque no puedan ser penalizados, este caso destaca los enormes daños que pueden causar jóvenes talentos hackers cuando emplean sus habilidades de forma destructiva y egoísta.

La aventura criminal de TeaPot terminó en una nota agridulce: pasó de la oscuridad al estrellato, pero a costa de arruinar vidas y violar la privacidad de millones. Ojalá sirva de advertencia para que futuros niños prodigio del hacking tomen un camino más ético y constructivo.

English version

In September 2022, the gaming world was shocked to see images and videos circulating the internet showing gameplay of the highly anticipated video game Grand Theft Auto VI, the next release from developer Rockstar Games. This confidential material could only have come from one source: a monumental hack.

Behind this unprecedented leak was a 17-year-old British hacker, operating under the alias "TeaPotuberHacker". Through deception and exploiting vulnerabilities, he had managed to infiltrate Rockstar's internal systems and get his hands on a huge amount of sensitive data about GTA VI, including playable prototypes.

But this wasn't TeaPot's first attack. Months earlier, along with a group of young hackers known as Lapsus$, he had carried out successful breaches of tech companies like Nvidia, Microsoft, Samsung and MercadoLibre. And even while under house arrest, he continued hacking targets like Uber, Rockstar and even the London police.

From "low level" hackers to cybercriminals sought by the FBI

How could a self-taught teenager become one of the most feared criminal minds on the internet? It all started with Arios Kurtaj, TeaPot's real name, becoming interested in relatively harmless programming and hacking alongside a friend on an underground forum.

Little by little they scaled up their skills until they began stealing personal data and cryptocurrencies. They finally caught the attention of Lapsus$, an elite hacker group, by hacking the systems of two major British internet and telephony providers.

With Lapsus$, Kurtaj started participating in cyberattacks globally, targeting companies like Microsoft and Nvidia. His master stroke was the 2022 hack of Rockstar, which put him on the FBI's radar for compromising confidential data from an American company.

Social engineering and "dedication": the keys to TeaPot's success

Although in possession of great technical prowess, TeaPot did not rely solely on complex exploits or malware to breach systems. Much of his success was due to a sharp talent for "social engineering": psychologically manipulating employees until they surrendered passwords or granted access.

For example, to hack Nvidia, TeaPot and Lapsus$ bombarded staff with calls until a distracted employee let them in. At Uber, they stole credentials from an outside vendor using targeted phishing.

But there's no doubt TeaPot also possessed an unrelenting hacker ethic and obsessive dedication. He used pseudonyms and constantly erased his tracks to avoid detection. And even while practically incommunicado in a hotel, he managed to continue hacking using just a mobile phone, keyboard, and simple devices like an Amazon Fire Stick.

It was in this way that TeaPot, under house arrest in a hotel, was able to infiltrate Rockstar's systems by using the internet connection from an Amazon Fire Stick and some portable peripherals. This ingenious use of everyday tools to circumvent his technological isolation demonstrates his extraordinary talent for exploiting vulnerabilities and limited resources.

Leaks and huge economic losses

In addition to compromising confidential data like source code, the Lapsus$ and TeaPot attacks caused serious economic harm to their victims.

For example, from the hack of the British telephone providers EE and BT, the hackers profited over 1 million British Pounds through SIM card scams. They also caused fintech Revolut to lose 20 million dollars through fraudulent refunds.

The GTA VI leak, for its part, had no direct monetary impact. But the exposure of sensitive material could have demolished the marketing and hype strategy Rockstar had been planning for years.

Minors and autists: a legal limbo

When he was finally arrested, TeaPot was only 17 years old, so his identity remains secret. Both he and his partner in Lapsus$ were deemed unfit to stand trial. This is because one of them is autistic, meaning they have a neurological developmental disorder, not a mental illness. Due to this condition, they cannot be charged with a crime as they lack the capacity to understand their actions.

Nonetheless, they may both face measures like prolonged restrictions to their freedom and access to computing devices. And although they cannot be penalized, this case highlights the enormous damage young hacker prodigies can cause when they employ their skills destructively and selfishly.

TeaPot's criminal adventure ended on a bittersweet note: he went from obscurity to stardom, but at the cost of ruining lives and violating the privacy of millions. Hopefully it serves as a warning so future young hacking geniuses take a more ethical and constructive path.