Quattro anni prima dell’uscita di GTA 6, un ragazzo era già riuscito a entrare nei sistemi di Rockstar Games e a mostrare al mondo il gioco più atteso del decennio.
Era il settembre 2022. Rockstar non aveva pubblicato trailer, screenshot o dettagli ufficiali, ma improvvisamente su GTAForums comparvero circa 90 video tratti da una versione ancora incompleta del gioco.
Le immagini rivelavano in anticipo l’ambientazione, i protagonisti e diverse meccaniche ancora in fase di sviluppo. Rockstar confermò poco dopo di aver subito un’intrusione informatica e che il materiale era stato sottratto illegalmente dai suoi sistemi.
Il responsabile era Arion Kurtaj, un diciassettenne britannico legato a Lapsus$, gruppo che nello stesso periodo stava mettendo in difficoltà alcune delle aziende tecnologiche più grandi del pianeta.
Indice
Il leak di GTA 6 prima ancora del primo trailer
Il materiale venne pubblicato il 18 settembre 2022 da un utente conosciuto online come teapotuberhacker. Nei filmati si vedevano scene di test, animazioni incomplete, righe di codice e ambienti ancora lontani dalla qualità del prodotto definitivo.
Proprio per questo molti utenti iniziarono a criticare la grafica, dimenticando che stavano osservando un gioco nel pieno dello sviluppo.
Gli studi raramente mostrano al pubblico materiale così grezzo: il leak permise quindi di entrare in un cantiere che Rockstar avrebbe voluto tenere chiuso ancora per molto tempo.
Il ragazzo entrò anche nel sistema di messaggistica interna dell’azienda e minacciò di pubblicare il codice sorgente se Rockstar non lo avesse contattato su Telegram. Una parte dei video venne caricata pubblicamente poco dopo.
Il primo trailer ufficiale sarebbe arrivato soltanto nel dicembre 2023, oltre un anno più tardi. Il gioco è ora previsto per il 19 novembre 2026 su PlayStation 5 e Xbox Series X|S.
Quando attaccò Rockstar, Kurtaj non si trovava tranquillamente nella propria cameretta con una postazione da migliaia di euro.
Era già stato arrestato per precedenti attacchi informatici e si trovava sotto protezione della polizia in un hotel Travelodge. Il suo computer portatile era stato sequestrato e gli era stato impedito di accedere liberamente a internet.
Secondo quanto emerso durante il procedimento giudiziario, riuscì comunque a colpire Rockstar utilizzando un Amazon Fire TV Stick, il televisore dell’hotel e uno smartphone.
Un dettaglio che ha trasformato la vicenda in una specie di leggenda online, ma che racconta soprattutto quanto un dispositivo comune possa diventare pericoloso quando viene combinato con credenziali rubate e accessi aziendali poco protetti.
Non significa che il Fire Stick contenesse qualche misterioso pulsante per “hackerare GTA”. Il dispositivo gli servì come mezzo per collegarsi alla rete e utilizzare gli accessi che era riuscito a ottenere.
Chi erano gli hacker di Lapsus$
Lapsus$ non funzionava come il classico gruppo di hacker informatici che cerca di restare invisibile per mesi.
I suoi membri pubblicavano aggiornamenti su Telegram, prendevano in giro le aziende colpite e chiedevano direttamente ai follower quale materiale avrebbero dovuto diffondere. In alcuni casi annunciavano persino di voler comprare password e accessi da dipendenti delle imprese prese di mira.
Microsoft descrisse il gruppo come particolarmente concentrato sul furto delle identità digitali. Tra le tecniche osservate c’erano password acquistate online, richieste ripetute di autenticazione, telefonate ai servizi di assistenza, SIM swapping e reclutamento di dipendenti disposti a consegnare le proprie credenziali.
I membri arrivavano anche a introdursi nelle chat e nelle riunioni utilizzate dalle aziende per gestire l’emergenza.
Da Nvidia e Microsoft fino a Uber e Revolut
Rockstar fu soltanto una delle vittime associate alla campagna di Lapsus$.
Il gruppo prese di mira Nvidia, Microsoft, Samsung, Okta, Uber e altre grandi società. Kurtaj venne collegato nei procedimenti britannici ad attacchi contro BT, EE, Nvidia, Uber, Revolut e Rockstar Games, commessi quando aveva tra i 16 e i 17 anni.
L’attacco a Uber mostra bene quanto potesse essere semplice il punto di partenza.
La società ricostruì che la password di un collaboratore esterno era probabilmente finita nel dark web dopo l’infezione del suo dispositivo personale. L’aggressore provò più volte ad accedere, facendo comparire sul telefono della vittima continue richieste di autenticazione a due fattori.
Alla fine il collaboratore ne approvò una. Da quel momento l’attaccante riuscì ad accedere a vari strumenti interni, compresi Slack e Google Workspace, e ad ampliare i propri privilegi. Uber attribuì l’attacco a una persona o a più persone affiliate a Lapsus$.
È il particolare che rende questa storia più inquietante. Le aziende colpite non erano piccoli siti dimenticati online, ma colossi con interi reparti dedicati alla sicurezza. Eppure, in alcuni casi, la porta d’ingresso non era una vulnerabilità tecnologica sconosciuta: era un essere umano stanco di ricevere notifiche.
Nel caso di Microsoft, un singolo account compromesso diede accesso limitato ai sistemi interni prima che l’operazione venisse interrotta. Lapsus$ pubblicò poi materiale che sosteneva provenisse dai codici sorgente di Bing, Bing Maps e Cortana.
Il gruppo trasformava inoltre gli attacchi in uno spettacolo pubblico. Non si limitava a rubare dati: li utilizzava per attirare attenzione, mettere pressione sulle vittime e costruire una propria reputazione nelle community online.
Quanto costò il leak a Rockstar?
Rockstar dichiarò inizialmente che l’intrusione non avrebbe interrotto i suoi servizi né prodotto effetti a lungo termine sullo sviluppo dei progetti in corso.
Le conseguenze, però, non furono leggere. Durante il procedimento giudiziario emerse che l’azienda aveva speso milioni per gestire l’incidente e impiegato migliaia di ore di lavoro del personale.
La giudice sottolineò anche la perdita di opportunità di marketing, impossibile da quantificare: per la prima volta, il pubblico aveva scoperto GTA 6 attraverso filmati rubati e incompleti, invece che tramite la presentazione preparata da Rockstar.
L’impatto non fu quindi soltanto tecnico. Centinaia di sviluppatori videro finire online un lavoro ancora provvisorio, esposto a giudizi, meme e critiche senza poter spiegare in quale fase si trovasse.
Che cosa è successo ad Arion Kurtaj
Nel 2023 Kurtaj venne dichiarato non idoneo a sostenere un processo ordinario. La giuria non dovette quindi decidere se fosse penalmente colpevole nel senso tradizionale, ma soltanto se avesse materialmente commesso gli atti contestati.
La giuria concluse che li aveva compiuti. Nel dicembre 2023 il tribunale dispose un ricovero in una struttura protetta senza una durata prestabilita, accompagnato da restrizioni che ne subordinavano l’eventuale uscita alle valutazioni delle autorità.
Non si trattava, quindi, di una normale “condanna all’ergastolo in ospedale”, come spesso viene semplificato sui social.
Nel 2025 la Corte d’Appello ha esaminato il caso e ha respinto il ricorso contro l’accertamento secondo cui Kurtaj aveva commesso gli atti contestati, pur riconoscendo alcune criticità nell’ammissione di precedenti condanne come prova.
Nel luglio 2026 è emerso un nuovo sviluppo: secondo quanto riportato dal giornalista della BBC Joe Tidy e ripreso dalla stampa specializzata, Kurtaj avrebbe lasciato la struttura sanitaria e sarebbe stato trasferito in un carcere ordinario, in attesa di un nuovo processo previsto per novembre.
La situazione legale è ancora in evoluzione.
Accedi a tutti gli appunti
Tutor AI: studia meglio e in meno tempo
