En septiembre de 2022 aparecieron en internet más de 3 GB de datos de Grand Theft Auto VI que contenían decenas de videos e imágenes. Detrás de esta filtración masiva estaba el grupo Lapsus$, que anteriormente había atacado otras compañías como Uber y Nvidia. El responsable de llevar a cabo la acción contra Rockstar Games fue un británico de 18 años llamado Arion Kurtaj, que ha sido condenado a un internamiento hospitalario indefinido.
El juez considera que Arion Kurtaj, que tiene un trastorno del espectro autista, sigue siendo un peligro debido a sus habilidades y su deseo de seguir cometiendo delitos informáticos. Durante el juicio el tribunal fue informado de que el joven había tenido un comportamiento violento durante su detención, con decenas de denuncias por lesiones y daños a la propiedad, según informa la BBC. Los médicos consideraron que Kurtaj no era apto para ser juzgado debido a su grado de autismo, por lo que se pidió al jurado que determinase si había cometido o no los actos denunciados, no si los había ejecutado con una intención delictiva.
Durante el juicio trascendió que estando en libertad bajo fianza por el hackeo Nvidia y el operador BT/EE y mientras se encontraba bajo protección policial en un hotel, el joven siguió con su actividad delictiva y ejecutó el ataque a Rockstar Games. ¿Cómo? A Kurtaj le confiscaron el portátil, así que se valió de un Amazon Fire Stick, la televisión del hotel y un móvil. El joven irrumpió en el Slack de Rockstar Games y dijo que si la compañía no se ponía en contacto con él en 24 horas liberaría el código fuente. A continuación, publicó el material de GTA VI y el código en un foro bajo el nombre de TeaPotUberHacker.
Tras el ataque a Rockstar Games y la filtración de GTA VI, Arion Kurtaj fue arrestado de nuevo y detenido hasta el juicio. Durante la audiencia la defensa del joven argumentó que el éxito del primer tráiler de GTA VI, que ya suma 155 millones de visitas, indicaba que el hackeo no había causado un daño al editor y pidió que se tuviera en cuenta para la sentencia. Sin embargo, el juez consideró que en este y los otros ataques de Lapsus$ habían existido víctimas y daños reales. Rockstar Games aseguró ante el tribunal que recuperarse del hack le costó 5 millones de dólares y miles de horas de trabajo.
El pasado agosto otro miembro de Lapsus$ menor de edad fue declarado culpable y sentenciado a una Youth Rehabilitation Order de 18 meses que incluye supervisión y la prohibición de usar VPN. Las autoridades creen que el grupo Lapsus$ está formado en su mayoría por adolescentes y el resto de miembros no identificados se consideran prófugos.
