락스타 게임즈 'GTA6' 소스코드·영상 대량 해킹 유출 사건

2021년 결성된 것으로 알려진 국제 해킹조직 랩서스(Lapsus$)가 2022년 2월 그래픽카드 제조사 엔비디아의 내부 시스템에 침입해 민감한 정보를 탈취하고 이를 온라인에 공개한 뒤 몸값을 요구하는 사건을 일으켰다. 이는 랩서스가 이후 삼성전자, 옥타, 우버, 락스타 게임즈 등 굵직한 기업들을 잇달아 공격하는 신호탄이 됐다. 조직의 핵심 인물로는 영국 옥스퍼드 출신의 10대 소년 아리온 커타지가 지목됐으며, 그는 해킹에 강박적으로 집착하는 성향을 보였다는 평가를 받았다. 랩서스는 전통적인 금전 갈취보다 내부 자료를 공개적으로 유출해 기업을 망신주는 방식을 즐겨 사용해 보안업계에 새로운 위협 유형으로 주목받았다. 이 사건은 몇 달 뒤 벌어질 GTA6 유출 사태의 전조로 훗날 재조명됐다.

영국 런던 경찰이 랩서스 해킹조직과 연루된 것으로 의심되는 다수의 10대 용의자를 검거하는 작전을 벌였고, 이 과정에서 당시 16세였던 아리온 커타지도 처음으로 체포됐다. 경찰은 노트북 등 전자기기를 압수했지만 이후에도 그의 해킹 행위를 완전히 차단하지는 못한 것으로 드러났다. 커타지는 보석으로 풀려난 상태에서도 해킹을 지속하려는 의지를 보였다는 정황이 나중 재판 과정에서 확인됐다. 이 시점의 체포는 랩서스 조직의 실체를 수사기관이 처음으로 구체적으로 파악하는 계기가 됐다. 그러나 결과적으로 이 조치는 같은 해 9월 벌어질 락스타 게임즈 해킹을 막지 못했다.

2022년 9월 18일, 정체불명의 해커가 팬사이트 GTA포럼(GTAForums)에 락스타 게임즈의 미공개 신작 'GTA6'의 개발 초기 영상 90개와 소스코드 일부를 무단으로 업로드했다. 유출된 영상에는 게임의 배경 도시, 등장인물, 총격전 등 미완성 상태의 게임플레이 장면이 대거 포함돼 있어 순식간에 전 세계 게임 커뮤니티로 퍼져나갔다. 이는 역대 게임업계 유출 사고 중 가장 큰 규모로 꼽히며, 개발 중인 초대형 프랜차이즈 신작이 공식 발표 전에 통째로 노출된 이례적 사례로 기록됐다. 해커는 훗날 랩서스 조직의 아리온 커타지로 확인됐으며, 그는 우버 해킹과 유사한 수법으로 락스타 내부 슬랙 채널에 접근했던 것으로 조사됐다. 이 유출로 락스타는 신작 공개 전략을 전면 재검토해야 하는 상황에 놓였다.

락스타 게임즈는 유출 다음 날인 9월 19일 공식 성명을 내고 "승인되지 않은 제3자가 불법으로 당사 시스템에 접근해 기밀 정보를 다운로드했다"고 밝히며 해킹 사실을 공식 인정했다. 회사 측은 "이런 방식으로 차기 게임의 세부 내용이 공개된 것에 매우 실망했다"며 팬들에게 사과의 뜻을 전했다. 동시에 라이브 서비스 운영이나 개발 일정에는 장기적인 영향이 없을 것이라고 강조하며 진화에 나섰다. 이 성명은 게임업계 초유의 대형 유출 사고에 대한 공식 대응으로 언론의 집중 조명을 받았다. 이후 락스타는 재택근무 정책을 축소하고 내부 보안 체계를 대폭 강화하는 조치를 단행한 것으로 알려졌다.

사건 발생 약 일주일 만인 9월 26일, 런던 경찰은 보석 상태였던 아리온 커타지를 호텔 방에서 다시 체포했다. 그는 노트북을 압수당한 상태였음에도 아마존 파이어스틱을 호텔 TV에 연결하고 휴대전화를 이용해 해킹을 이어가다가 현장에서 붙잡힌 것으로 드러났다. 경찰은 그가 보호 프로그램에 따라 배정된 숙소에서도 범행을 멈추지 않았다는 점에서 우려를 표했다. 이 체포는 우버 해킹 사건과 맞물려 랩서스 조직의 최종 배후로 그를 지목하는 결정적 계기가 됐다. 그의 재범 시도는 이후 재판에서 그가 사회에 지속적인 위험 요소로 평가받는 핵심 근거가 됐다.

2022년 10월, 영국 검찰은 아리온 커타지와 공범으로 지목된 또 다른 10대에게 컴퓨터 부정사용, 사기, 갈취, 보석 조건 위반 등 다수의 혐의로 기소했다. 검찰은 이들이 락스타 게임즈뿐 아니라 우버, 엔비디아, 삼성전자, 옥타 등을 상대로 조직적인 해킹을 벌인 정황을 확보했다고 밝혔다. 커타지는 자폐 스펙트럼 진단을 받아 재판을 받을 정신적 능력이 있는지에 대한 별도 심리도 함께 진행됐다. 검찰 측은 그가 반복적으로 재범을 시도한 점을 들어 엄중한 처벌이 필요하다는 입장을 밝혔다. 이 기소는 랩서스 조직의 실체를 법정에서 처음으로 다루는 절차의 시작이었다.

2023년 8월 24일 영국 법원 배심원단은 아리온 커타지가 자폐 진단으로 인해 정식 유죄 평결 대상이 될 수 없다고 판단하면서도, '사실심리(trial of facts)' 절차를 통해 그가 우버와 락스타 게임즈 해킹을 포함한 혐의 행위들을 실제로 저질렀다는 점은 인정했다. 공범으로 함께 기소된 또 다른 10대 소년에 대해서도 유사한 판단이 내려졌다. 이 재판은 랩서스 조직의 국제적 해킹 행각이 법정에서 구체적으로 규명된 첫 사례로 평가받았다. 재판부는 두 사람이 미성년자 신분으로 우버, 엔비디아, GTA6 등 굵직한 기업들을 잇달아 공략했다는 사실관계를 상세히 확인했다. 이 결정 이후 남은 절차는 커타지에 대한 최종 처분을 정하는 양형 심리로 넘어갔다.

2023년 12월 21일 법원은 아리온 커타지에게 무기한 병원 수용 명령을 선고했다. 정신건강 전문가들은 그가 "가능한 한 빨리 사이버 범죄로 복귀하려는 의도를 계속 표출했다"고 평가하며 그를 공공에 대한 고위험군으로 분류했다. 이에 따라 그는 전문가들이 더 이상 위험하지 않다고 판단할 때까지 보안 병원에 수용되는 이례적인 처분을 받게 됐다. 이 선고는 18세 청소년 해커에게 내려진 처벌로는 매우 강경한 수준이라는 평가를 받으며 각국 언론에 대서특필됐다. 검찰과 법원은 그가 감금 상태에서도 반복적으로 규정을 위반하며 해킹을 시도했던 전력을 양형에 결정적으로 반영했다고 밝혔다.

2026년 7월, 무기한 병원 수용 명령을 받았던 아리온 커타지가 보안 병원에서 일반 교도소로 이송됐다는 사실이 알려지면서 사건이 다시 주목받았다. 그는 같은 해 11월로 예정된 재심을 앞두고 신병 처리 방식이 변경된 것으로 전해졌다. 이는 최초 선고 이후에도 그의 법적 지위와 처우가 계속 논쟁거리로 남아 있었음을 보여주는 전개다. 게임업계에서는 이번 이송이 사건이 3년 넘게 완전히 종결되지 않고 이어지고 있다는 방증으로 받아들여졌다. 락스타 게임즈와 보안 전문가들은 이 사건을 초대형 게임사에 대한 내부자·해킹 위협의 대표 사례로 계속 인용하고 있다.