Un membre de l’opération de ransomware Ryuk a été condamné à deux ans de prison fédérale américaine pour avoir participé à des cyberattaques qui ont chiffré des réseaux d’entreprise et extrait plus d’un million de dollars de victimes.
Karen Vardanyan, citoyenne arménienne de 35 ans, a écopé d’une peine de prison de 24 mois suivie de trois ans de libération surveillée. Un juge fédéral lui a également ordonné de verser 1 219 106 dollars en indemnisation aux victimes touchées par l’opération de ransomware.
Vardanyan, qui utilisait les pseudonymes en ligne « Maneeken » et « Karl Lagerfeld », a participé à la conspiration Ryuk de mars 2019 jusqu’à environ juin 2020. Les procureurs ont indiqué que l’opération visait des entreprises, des écoles et d’autres organisations à travers le monde, y compris des victimes aux États-Unis.
Le groupe a obtenu un accès non autorisé aux réseaux d’entreprise avant de déployer le ransomware Ryuk sur des serveurs et stations de travail compromis. Le malware a chiffré les fichiers et empêché les organisations d’utiliser les systèmes affectés, tandis que les notes de rançon demandaient aux victimes d’effectuer des paiements en cryptomonnaie, généralement en Bitcoin, pour obtenir des clés de déchiffrement.
Les dossiers judiciaires détaillaient auparavant plusieurs attaques liées à Vardanyan et à ses complices. Une entreprise du Michigan a payé 200 Bitcoins, d’une valeur de plus de 1,1 million de dollars à l’époque, pour retrouver l’accès à son réseau. Les assaillants ont également ciblé une entreprise à Wilsonville, Oregon, et ont compromis une école au Texas en février 2020.
L’affaire Vardanyan faisait suite à un effort international visant à identifier et poursuivre les personnes impliquées dans l’opération de ransomware. Un grand jury fédéral à Portland a rendu une inculpation de remplacement contre lui en février 2024, l’accusant de complot, de fraude informatique et d’extorsion liée à l’informatique.
Les autorités ukrainiennes ont ensuite arrêté Vardanyan avant de l’extrader vers les États-Unis. Il a fait sa première comparution devant un tribunal fédéral en juin 2025 et est resté en détention pendant que l’affaire pénale se poursuivait.
En juillet 2026, Vardanyan a plaidé coupable de complot et de fraude en lien avec des ordinateurs. Sa peine a été prononcée dans l’Oregon le 22 septembre à la suite d’une enquête du FBI, les autorités ukrainiennes aidant les autorités américaines à obtenir son arrestation et son extradition.
Ryuk est apparu en 2018 et est devenu connu pour cibler de grandes organisations capables de payer des rançons importantes. Le ransomware a été utilisé dans des attaques contre des entreprises, des organisations de santé, des écoles et d’autres institutions, causant souvent des perturbations importantes en chiffreant un grand nombre de systèmes.
La poursuite de Vardanyan s’est concentrée sur sa participation aux attaques entre 2019 et 2020 plutôt que sur l’histoire complète de l’activité de Ryuk dans le monde. Sa peine de 24 mois de prison sera suivie de trois ans de libération surveillée, tandis que l’ordonnance de restitution l’oblige à verser plus de 1,2 million de dollars aux victimes concernées par l’affaire.