Im Zentrum der mutmaßlichen Operation standen laut Anklage gestohlene Session-Tokens, gemeinhin als Cookies bekannt. Wer solche Tokens erbeutet, kann eine aktive Sitzung übernehmen, ohne das Passwort des Opfers zu kennen.
Die Beschuldigten sollen die erbeuteten Tokens in eine Software eingespeist haben, die prüfte, ob diese noch gültig waren. Schlug ein Token an, bewertete das Programm den Inhalt des zugehörigen Roblox-Kontos, darunter virtuelle Währung und seltene Spielgegenstände.
Besonders wertvolle Konten wurden den Ermittlern zufolge einzeln verkauft, weniger lukrative dagegen gebündelt in größeren Posten oder mit Rabatt abgegeben. Beworben wurden die Zugänge demnach über russische Online-Plattformen, die Bezahlung lief über Kryptowährungs-Wallets.
Manche Konten gingen für rund 70 russische Rubel (etwa 0,80 US-Dollar) weg. Insgesamt hätte der Verkauf der kompromittierten Konten nach Schätzung der Staatsanwaltschaft rund 480.000 US-Dollar einbringen können. Nachweisen konnten die Ermittler bislang knapp 54.000 US-Dollar an Krypto-Erlösen, die in ukrainische Währung getauscht und auf Bankkonten der Beschuldigten überwiesen wurden.
Die Arbeit soll innerhalb der Gruppe klar verteilt gewesen sein: Der Organisator vergab laut Anklage die Aufgaben, bezahlte die Server, überwachte den Verkauf und verteilte die Einnahmen. Seine beiden Mitstreiter betrieben demnach die Website und die Telegram-Kanäle, über die die gestohlenen Konten angeboten wurden, kommunizierten mit Käufern und kümmerten sich um das Geld.
Zur Beschaffung der Zugangsdaten setzte die Gruppe nach Angaben der Behörden aus dem April Schadsoftware zum Abgreifen von Informationen ein. Diese war als Software getarnt, die Spielvorteile oder kostenlose Ingame-Boni versprach — ein Köder, der auf die junge Nutzerschaft der Plattform zugeschnitten ist.
Die drei Beschuldigten sitzen in Untersuchungshaft. Ihnen werden unter anderem Diebstahl, Geldwäsche, unbefugter Eingriff in Computersysteme sowie der illegale Verkauf von Informationen mit beschränktem Zugang zur Last gelegt. Bei einer Verurteilung drohen bis zu zwölf Jahre Haft.