Fuite de GTA VI chez Rockstar Games (Lapsus$)

Le 18 septembre 2022, un utilisateur de forum se faisant appeler « teapotuberhacker » a publié environ 90 séquences vidéo du jeu inédit Grand Theft Auto VI sur GTAForums, accompagnées d'affirmations d'accès au code source interne et à l'espace de travail Slack de Rockstar Games. Il s'agissait de l'une des plus grandes fuites non autorisées de l'histoire du jeu vidéo, réalisée non pas au moyen d'une chaîne d'exploitation sophistiquée mais par ingénierie sociale opérée par un membre adolescent du groupe d'extorsion Lapsus$.

Ce qui s'est passé

Le même acteur — identifié plus tard comme Arion Kurtaj — avait quelques jours plus tôt compromis Uber au moyen de techniques de fatigue MFA et d'ingénierie sociale caractéristiques de Lapsus$. Contre Rockstar, l'intrus a obtenu l'accès aux communications internes (Slack) et aux systèmes de développement, puis a exfiltré des séquences de build préliminaires du GTA VI en cours de développement.

Rockstar a confirmé l'intrusion le 19 septembre 2022, la décrivant comme une « intrusion réseau au cours de laquelle un tiers non autorisé a illégalement accédé à des informations confidentielles de nos systèmes et les a téléchargées ». L'entreprise a souligné qu'elle n'anticipait aucune perturbation de ses services en ligne ni du développement à long terme du jeu.

Fait remarquable, des éléments de preuve présentés au procès ont établi par la suite que Kurtaj a mené une partie de l'attaque contre Rockstar alors qu'il était en liberté sous caution pour des infractions antérieures — son ordinateur portable confisqué — à l'aide d'une clé Amazon Fire TV, d'un téléviseur d'hôtel et d'un téléphone portable. Il a compromis le système de messagerie interne de l'entreprise et a lancé un ultimatum de 24 heures, exigeant un contact faute de quoi il publierait le code source et les ressources.

Impact

• ~90 séquences et ressources associées du GTA VI inédit ont été divulguées publiquement, se propageant rapidement sur les réseaux sociaux avant les retraits.
• Rockstar a indiqué au tribunal que l'incident avait coûté à l'entreprise environ 5 millions de dollars US, plus un temps considérable de personnel consacré à la remédiation.
• Aucune violation de données clients ni compromission de registres financiers n'a été signalée ; le préjudice portait sur la propriété intellectuelle confidentielle et la réputation.
• Rockstar a verrouillé les commentaires sur les réseaux sociaux et a collaboré avec les plateformes pour retirer le matériel divulgué ; le développement de GTA VI s'est poursuivi, la première bande-annonce officielle du jeu étant diffusée en décembre 2023.

Attribution

La fuite est l'œuvre de Lapsus$, un groupe peu structuré composé principalement d'acteurs adolescents responsables en 2021–2022 d'intrusions chez Nvidia, Microsoft, Samsung, Okta, BT/EE, Revolut et Uber. Arion Kurtaj, un adolescent de l'Oxfordshire en Angleterre, a été arrêté le 23 septembre 2022. En août 2023, un jury londonien l'a jugé responsable des intrusions chez Rockstar, Uber, Nvidia et Revolut ; déclaré inapte à être jugé en raison d'un autisme sévère, le jury s'est prononcé sur les faits de l'affaire plutôt que de rendre un verdict classique. Le 21 décembre 2023, il a fait l'objet d'une mesure d'hospitalisation indéterminée.

Pourquoi c'est important

La fuite de Rockstar constitue une étude de cas déterminante en matière de sécurité du facteur humain. Aucune faille zero-day n'a été nécessaire : la compromission reposait sur l'ingénierie sociale, l'abus d'outils de collaboration internes et des faiblesses des contrôles d'identité et d'accès. Elle a souligné que la fatigue MFA, la manipulation du support technique et la confiance excessive accordée aux environnements Slack/Teams internes suffisent à pénétrer des entreprises technologiques pourtant bien dotées — le même mode opératoire que Lapsus$ a employé contre Okta et Uber à la même période. Pour le secteur du jeu vidéo en particulier, elle a imposé une réflexion approfondie sur la manière dont la propriété intellectuelle préalable à la sortie est segmentée, surveillée et protégée au sein des environnements de développement.