Un cittadino ucraino si è dichiarato colpevole di molteplici reati a causa del suo coinvolgimento in una serie di attacchi ransomware contro aziende negli Stati Uniti e in Europa. Artem Aleksandrovych Stryzhak, un cittadino ucraino di 35 anni, è stato accusato di aver preso di mira queste organizzazioni dal 2018 alla fine del 2021.
Secondo quanto riportato, l'ucraino potrebbe rischiare fino a 10 anni di carcere per associazione a delinquere finalizzata alla frode, inclusa l'estorsione. L'ucraino è stato arrestato in Spagna nel giugno 2024 ed è stato successivamente estradato negli Stati Uniti ad aprile.
Le autorità sono ancora sulle tracce del suo complice, Volodymyr Tymoshchuk, sul quale è stata messa una taglia di 11 milioni di dollari per qualsiasi informazione che porti al suo arresto.
Un ucraino si dichiara colpevole di crimini legati al ransomware
Joseph Nocella, procuratore degli Stati Uniti per il distretto orientale di New York, ha dichiarato in una nota che l'imputato ha utilizzato il ransomware Nefilim per prendere di mira aziende ad alto fatturato negli Stati Uniti. Spesso rubava dati e li crittografava, accettando di divulgarli solo dopo che le sue richieste, spesso di natura finanziaria, erano state accolte.
"Restiamo determinati a catturare il coimputato e complice di Stryzhak, Volodymyr Tymoshchuk, e a consegnarlo alla giustizia in un'aula di tribunale statunitense", ha aggiunto Nocella.
L'ucraino è ora accusato di aver agito in qualità di amministratore del gruppo ransomware ed è descritto come un criminale informatico seriale associato a diverse organizzazioni ransomware.
Le autorità hanno affermato che gli attacchi condotti dal ransomware Nefilim hanno causato danni per milioni di dollari attraverso estorsioni e danni alle reti delle vittime. Styzhak e i suoi complici avrebbero personalizzato i file del ransomware per ogni vittima, creando chiavi di decrittazione e richieste di riscatto uniche.
Il gruppo di ransomware ha preso di mira principalmente aziende con sede negli Stati Uniti, in Australia e in Canada, generando un fatturato annuo di oltre 100 milioni di dollari. Hanno estorto denaro alle loro vittime minacciando di pubblicare i dati rubati.
Le autorità hanno affermato che la banda avrebbe prima effettuato ricerche sulle vittime dopo essere penetrata nelle loro reti. Avrebbero cercato dettagli come il loro patrimonio netto, le dimensioni dell'operazione e la criticità delle loro operazioni. L'ucraino e la sua banda avrebbero poi cercato i loro recapiti e avviato il contatto.
Stryzhak rischia fino a 10 anni di carcere
Tra le vittime di Stryzhak negli Stati Uniti figurano una società di consulenza ingegneristica con sede in Francia, una compagnia aerea con sede a New York e un'azienda chimica con sede in Ohio. Hanno preso di mira anche una compagnia assicurativa in Illinois, un'azienda edile in Texas, un'azienda di prodotti per animali domestici in Missouri, un'azienda internazionale di occhiali e un'azienda di trasporto di petrolio e gas.
I pubblici ministeri hanno affermato che Stryzhak e la sua banda hanno utilizzato il ransomware anche per crittografare le reti delle vittime in Germania, Paesi Bassi, Svizzera e Norvegia. I funzionari hanno affermato che l'operazione è stata avviata quando gli è stato fornito il codice del ransomware Nefilim nel giugno 2021 in cambio del 20% del ricavato del riscatto.
"I criminali informatici possono nascondersi dietro gli schermi, ma lasciano impronte digitali ovunque", ha affermato in una nota Christopher Johnson, agente speciale responsabile dell'ufficio locale dell'FBI a Springfield, Illinois.
L'agente dell'FBI ha affermato che seguono queste tracce digitali senza sosta attraverso tutte le reti, i confini e il tempo, finché i responsabili non vengono arrestati e ritenuti responsabili dei loro crimini.
"Oggi è un risultato straordinario, ma non ci fermeremo finché non avremo catturato tutti i responsabili del ransomware Nefilim", ha aggiunto.
Dopo essersi dichiarato colpevole dei reati legati alla frode, l'ucraino sarà condannato il 6 maggio 2026 e dovrà scontare una pena massima di 10 anni di carcere, che sarà determinata dal giudice federale.
