L'UE sanziona il capo di Trickbot, 'Stern', per pagamenti di riscatto pari a 300 milioni di dollari a causa di un attacco ransomware

Vitaly Nikolayevich Kovalev, il cittadino russo che gestiva il gruppo ransomware Trickbot con lo pseudonimo di "Stern", è stato sanzionato dall'Unione Europea. 

La sanzione è il risultato di un'azione coordinata tra Stati Uniti e Regno Unito, mirata a smantellare una vasta rete di criminali informatici e i servizi che consentono loro di rimanere online. 

Chi è Stern? 

Vitaly Nikolayevich Kovalev, un cittadino russo di 36 anni a capo del gruppo ransomware Trickbot, è stato sanzionato dall'UE. È la prima volta che un organismo sanzionatorio associa esplicitamente il nome "Stern" a Kovalev. 

L' Ufficio per il controllo dei beni esteri del Dipartimento del Tesoro statunitense e l'Ufficio per l'attuazione delle sanzioni finanziarie del Regno Unito hanno sanzionato Kovalev per la prima volta nel febbraio 2023, ma le liste lo collegavano agli pseudonimi "Ben" e "Bentley". 

La polizia federale tedesca, la BKA, lo ha identificato pubblicamente come l'uomo dietro Stern nel maggio 2025, e dopo la scoperta è stato emesso un avviso rosso dall'Interpol.

Kovalev ricopriva il ruolo di leader "simile a un CEO" dei gruppi Trickbot e Conti. Secondo gli oltre 300.000 messaggi interni trapelati da un membro nel 2022, aveva autorità sul budget del gruppo, sulle assunzioni e sulla pianificazione degli attacchi. 

Il gruppo contava oltre 100 membri, aveva uffici fisici e gli stipendi dei membri venivano pagati in Bitcoin. Offrivano persino bonus al dipendente del mese.

Il suo gruppo ha colpito oltre 1.000 organizzazioni in tutto il mondo, tra cui l'Health Service Executive irlandese durante la pandemia di COVID-19 nel maggio 2021, la gioielleria Graff e numerosi altri ospedali e banche negli Stati Uniti e in Europa. Si stima che nel solo 2021 siano stati acquisiti circa 180 milioni di dollari.

Kovalev ha inoltre spostato fondi collegati a diverse varianti di ransomware, tra cui Ryuk, Conti, Diavol, Karakurt, Royal, Quantum e Bitpaymer. Nei suoi portafogli sono stati depositati oltre 300 milioni di dollari, pari alla sua quota personale dei pagamenti di riscatto.

Grazie alle sanzioni, gli indirizzi dei portafogli on-chain di Kovalev sono stati pubblicati, rendendogli più difficile trasferire fondi attraverso piattaforme di scambio di criptovalute e servizi finanziari. Si ritiene che si trovi in ​​Russia, Paese che purtroppo non estradisce i propri cittadini per affrontare accuse all'estero.

Quali altri servizi sono stati colpiti dalla sanzione?

L'OFAC ha inoltre sanzionato First VPN Service (1VPNS) e il suo amministratore, Dmytro Rashevskyi. Il servizio avrebbe permesso ai criminali di nascondere il proprio traffico internet e la propria vera posizione. Operativo dal 2014, pubblicizzava i propri servizi su forum di cybercriminali, promettendo di non conservare i registri delle attività e di non collaborare con le forze dell'ordine. 

Gli investigatori sono riusciti a collegare gli indirizzi dei portafogli sia alla piattaforma che al suo amministratore su otto blockchain, tra cui Bitcoin, Zcash, Dogecoin, Ethereum, Litecoin, Dash, TRONe Solana. Le autorità europee hanno chiuso il sito web di 1VPNS nel maggio 2026 con l'aiuto dell'ufficio dell'FBI di Boston.

L'UE ha inoltre sanzionato gli sviluppatori del software di furto di informazioni LummaC2, Maksim Voronin e Maksim Gordienko, la cui piattaforma si è classificata tra i software di furto di informazioni più utilizzati a livello globale nel 2024 e nel 2025, prima dell'operazione di smantellamento condotta dal Dipartimento di Giustizia degli Stati Uniti, da Europol e dal Centro giapponese per il controllo della criminalità informatica, iniziata nel maggio 2025. 

Tra gli altri nomi finiti nella lista delle sanzioni figurano il fornitore di servizi crittografici Yevgeniy Silayev, Media Land LLC, l'Unità 29155 del GRU russo e i gruppi di hacktivisti filo-russi CARR e Z-Pentest.