Lapsus$-Täter mit "Begier nach Cybercrime": Psychiatrie statt Haft
Selbst in Gefangenschaft sehnt sich Arion K. nach weiteren IT-Straftaten. Das Gericht schickt ihn ins Spital, womöglich lebenslang. Sein Komplize hat es besser.
(Bild: nepool/Shutterstock.com)
Sie veröffentlichten Videos von GTA 6 und erpressten Tech-Konzerne: Zwei britische Teenager, die Teil der Lapsus$-Bande waren, haben ihre Gerichtsurteile erfahren. Der minderjährige Täter, dessen Name nicht genannt werden darf, wurde schuldig befunden, muss aber nicht in Haft. Er wird 18 Monate lang streng überwacht und darf derweil kein VPN (Virtual Private Network) nutzen. Sein Komplize, der inzwischen 18-jährige Arion K., ist zwar aus gesundheitlichen Gründen nicht verhandlungsfähig, kommt aber dennoch nicht frei.
Vielmehr wird K. auf unbestimmte Zeit in einer forensischen Psychiatrie eingesperrt. Das hat der Southeast Circuit for England and Wales entschieden, wie die BBC berichtet. Grund ist, dass der junge Mann weiterhin eine Gefahr für die Öffentlichkeit darstellt. Erst wenn Ärzte bescheinigen, dass K. kein Gefährder mehr ist, kann er freikommen.
Nach seiner ersten Festnahme und Beschlagnahme seines Laptops erhielt K. noch Freiheit auf Kaution. Doch das hielt ihn nicht davon ab, in die Server von Rockstar Games einzubrechen. Dafür nutzte der Teenager ein Smartphone sowie einen Farbfernseher samt Firestick in seinem Hotelzimmer. Anschließend veröffentlichte er noch geheime Aufnahmen des Computerspiels Grand Theft Auto 6, und versuchte, dessen Hersteller Rockstar Games zu erpressen.
Ungebrochen "Hoch motiviert"
Danach war es vorbei mit Freiheit auf Kaution, nicht aber mit seiner stark ausgeprägten Begierde, weitere IT-Straftaten zu begehen. Das hat er sogar bei seiner psychiatrischen Untersuchung im Rahmen des Gerichtsverfahrens angegeben. "Er ist hoch motiviert", mussten die Experten feststellen. K. wurde als nicht verhandlungsfähig, aber gefährlich eingestuft. Die Geschworenen mussten daher nicht über seine Schuld befinden, haben aber festgestellt, dass er die ihm vorgeworfenen Taten begangen hat.
Lapsus$ attackierte prominente Einrichtungen: Zu den bekannten Opfern zählen neben Rockstar Games das brasilianische Gesundheitsministerium, Nvidia, Samsung, Ubisoft, T-Mobile, Microsoft, Uber und die British Telecom. Die Bande dürfte noch mehr Mitglieder haben. Mindestens sieben Personen mit Verbindung zu Lapsus$ wurden festgenommen, weitere könnten noch flüchtig sein. K. und der minderjährige Komplize sind die ersten beiden Bandenmitglieder, die vor Gericht gestellt wurden. Dabei wurden ihnen insgesamt zwölf Straftaten zur Last gelegt, darunter neben IT-Straftaten auch Erpressung, Betrug sowie Stalking und Belästigung junger Damen.
Für ihre Einbrüche in geschützte Computersysteme nutzten sie neben Sicherheitslücken unter anderem Zugangsdaten von Mitarbeitern der Firmen, die sie durch Vortäuschen falscher Identitäten bei Mitarbeiter-Telefonhotlines erlangten oder durch Massenmailings an Mitarbeiter, die diese zur Eingabe der Daten bewegen sollten. Ihre Erfolge feierten sie in einer Telegram-Gruppe. Zudem traten sie beleidigend in Chatsystemen der betroffenen Unternehmen in Erscheinung.
Schadenssumme ist Dunkelziffer
Erbeutete Daten wurden teilweise veröffentlicht, teilweise zu Erpressung genutzt, zum Teil aber auch gegen Dritte eingesetzt. Die bei Telecom-Firmen erbeuteten Daten erlaubten Lapsus$ sogenanntes SIM-Swapping. Dabei entzogen die Bande Dritten die Telefonnummern, um diese selbst für Zwei-Faktor-Authentifizierung zu nutzen. Anschließend bedienten sich die Täter an Kryptowährung-Wallets der Opfer.
Die Schadenssumme ist nicht bekannt, geht aber in die Millionen. Allein Rockstar bezifferte die Aufräumkosten mit fünf Millionen US-Dollar plus Tausender Arbeitsstunden. Uber gab fast drei Millionen Dollar Schaden durch Veröffentlichung fremder Daten zu Protokoll. Die von Lapsus$ getroffenen Unternehmen haben keine Angaben zu etwaig gezahlten Erpressungsgeldern gemacht.
Auch die Summe der gestohlenen Kryptowährungen ist unklar. Zwar konnten Ermittler bei den Tätern Kryptowährung-Wallets sicherstellen, doch haben die jungen Männer die zugehörigen Passwörter nicht verraten.
(ds)