Un miembro de la operación de ransomware Ryuk ha sido condenado a dos años de prisión federal en Estados Unidos por participar en ciberataques que cifraron redes corporativas y extrajeron más de un millón de dólares de las víctimas.
Karen Vardanyan, una ciudadana armenia de 35 años, recibió una condena de 24 meses de prisión seguida de tres años de libertad supervisada. Un juez federal también le ordenó pagar 1.219.106 dólares en indemnización a las víctimas afectadas por la operación de ransomware.
Vardanyan, que utilizó los alias en línea “Maneeken” y “Karl Lagerfeld”, participó en la conspiración de Ryuk desde marzo de 2019 hasta aproximadamente junio de 2020. Los fiscales dijeron que la operación tenía como objetivo empresas, escuelas y otras organizaciones de todo el mundo, incluidas víctimas en Estados Unidos.
El grupo obtuvo acceso no autorizado a redes corporativas antes de desplegar ransomware Ryuk en servidores y estaciones de trabajo comprometidos. El malware cifró archivos e impedía que las organizaciones usaran los sistemas afectados, mientras que las notas de rescate instruían a las víctimas a realizar pagos con criptomonedas, normalmente en Bitcoin, para obtener claves de descifrado.
Los registros judiciales detallaban previamente varios ataques vinculados a Vardanyan y sus cómplices. Una empresa de Michigan pagó 200 Bitcoin, valorados en más de 1,1 millones de dólares en ese momento, para recuperar el acceso a su red. Los atacantes también atacaron a una empresa en Wilsonville, Oregón, y comprometieron una escuela en Texas en febrero de 2020.
El caso de Vardanyan siguió a un esfuerzo internacional para identificar y procesar a las personas implicadas en la operación de ransomware. Un gran jurado federal en Portland emitió una acusación de reemplazo contra él en febrero de 2024, acusándole de conspiración, fraude informático y extorsión relacionada con ordenadores.
Las autoridades ucranianas arrestaron posteriormente a Vardanyan antes de extraditarlo a Estados Unidos. Hizo su primera comparecencia ante un tribunal federal en junio de 2025 y permaneció bajo custodia mientras el caso penal avanzaba.
En julio de 2026, Vardanyan se declaró culpable de conspiración y fraude en relación con ordenadores. Su sentencia fue dictada en Oregón el 22 de septiembre tras una investigación del FBI, con las autoridades ucranianas ayudando a funcionarios estadounidenses a asegurar su arresto y extradición.
Ryuk surgió en 2018 y se hizo conocido por atacar a organizaciones más grandes capaces de pagar rescates sustanciales. El ransomware se utilizó en ataques contra empresas, organizaciones sanitarias, escuelas y otras instituciones, causando a menudo una interrupción significativa al cifrar un gran número de sistemas.
La acusación de Vardanyan se centró en su participación en ataques entre 2019 y 2020 más que en la historia completa de la actividad de Ryuk a nivel mundial. Su condena de 24 meses de prisión será seguida de tres años de libertad supervisada, mientras que la orden de restitución le exige pagar más de 1,2 millones de dólares a las víctimas cubiertas por el caso.