Un’operazione internazionale di polizia ha interrotto Virtualine, un provider di hosting accusato di fornire infrastrutture a bande di ransomware, operazioni di phishing e altre organizzazioni criminali informatiche. La repressione ha portato al sequestro del suo dominio principale, alla chiusura di centinaia di server virtuali e al recupero di informazioni su migliaia di clienti.
The US Department of Justice annunciò il sequestro di virtualine.net il 27 ottobre 2026, a seguito di un’indagine guidata dall’ufficio FBI a Washington. Hanno partecipato autorità in Germania, Paesi Bassi e Regno Unito, insieme a partner privati di cybersecurity.
Virtualine operava come un fornitore di hosting a prova di proiettile, offrendo server e servizi di dominio promettendo ai clienti protezione da denunce di abuso e interventi delle forze dell’ordine. L’azienda utilizzava anche diversi altri nomi, tra cui Secury, Massgod, Spamhouse, Lanedo e Omegatech.
Secondo i documenti giudiziari, Virtualine ha promosso apertamente i suoi servizi su forum sotterranei. Nel marzo 2026, ha introdotto un piano di protezione aggiuntivo che prometteva di trasferire l’infrastruttura dei clienti a un’azienda non correlata qualora le autorità avessero richiesto azioni contro i loro server.
Gli investigatori hanno anche accusato il fornitore di ospitare consapevolmente un forum che distribuiva materiale di abuso sessuale su minori e immagini intime non consensuali. Nonostante abbia ricevuto ripetute denunce da parte delle forze dell’ordine e delle organizzazioni per la protezione dell’infanzia, Virtualine avrebbe mantenuto il servizio e aiutato i suoi operatori a creare un altro sito web.
Le indagini finanziarie hanno rivelato collegamenti con un ecosistema criminale più ampio. La società di intelligence blockchain Chainalysis ha identificato transazioni che collegano Virtualine a operatori di ransomware, malware che rubano informazioni, servizi di phishing e mercati illeciti.
Virtualine accettava pagamenti in Bitcoin tramite portafogli di criptovalute non ospitati, permettendo ai clienti di evitare alcuni controlli di conformità associati agli exchange regolamentati. Le autorità statunitensi sostengono che il fornitore abbia successivamente riciclato proventi criminali per nasconderne le origini.
Ulteriori analisi di TRM Labs hanno rilevato che le transazioni legate al ransomware rappresentavano circa il 5% dei flussi finanziari di Virtualine, mentre un mercato di farmaci russo rappresentava circa il 44%.
L’operazione si estese oltre la sequestrazione del dominio. La polizia olandese ha confiscato decine di server fisici nel Limburgo, mettendo fuori uso centinaia di server virtuali. Gli investigatori hanno anche recuperato informazioni associate a oltre 3.000 clienti Virtualine, che potrebbero supportare ulteriori indagini penali.
L’amministratore di Virtualine ha contestato le accuse in una dichiarazione pubblica pubblicata tramite un altro dominio. L’operatore ha respinto le accuse riguardanti materiale sullo sfruttamento infantile e ha suggerito che il servizio potrebbe continuare a operare sotto un’identità diversa.
I ricercatori di sicurezza hanno riferito che alcune parti dell’infrastruttura associata sono rimaste accessibili dopo l’operazione, anche se la visibilità della rete era diminuita significativamente.