Un membro dell’operazione ransomware Ryuk è stato condannato a due anni di carcere federale statunitense per aver partecipato ad attacchi informatici che hanno criptato reti aziendali ed estratto oltre 1 milione di dollari dalle vittime.
Karen Vardanyan, cittadina armena di 35 anni, ha ricevuto una condanna a 24 mesi di carcere seguita da tre anni di rilascio supervisionato. Un giudice federale gli ha anche ordinato di pagare 1.219.106 dollari di risarcimento alle vittime colpite dall’operazione ransomware.
Vardanyan, che ha usato gli pseudonimi online “Maneeken” e “Karl Lagerfeld”, ha partecipato alla cospirazione Ryuk da marzo 2019 fino a circa giugno 2020. I pubblici ministeri hanno detto che l’operazione ha preso di mira aziende, scuole e altre organizzazioni in tutto il mondo, incluse le vittime negli Stati Uniti.
Il gruppo ha ottenuto accesso non autorizzato alle reti aziendali prima di distribuire ransomware Ryuk su server e workstation compromessi. Il malware ha criptato file e impedito alle organizzazioni di utilizzare i sistemi interessati, mentre le note di riscatto hanno istruito le vittime a effettuare pagamenti in criptovalute, tipicamente in Bitcoin, per ottenere chiavi di decrittazione.
I documenti giudiziari hanno precedentemente dettagliato diversi attacchi collegati a Vardanyan e ai suoi cospiratori. Una società del Michigan ha pagato 200 Bitcoin, per un valore superiore a 1,1 milioni di dollari all’epoca, per riottenere l’accesso alla sua rete. Gli aggressori hanno anche preso di mira un’azienda a Wilsonville, Oregon, e hanno compromesso una scuola in Texas nel febbraio 2020.
Il caso di Vardanyan è seguito a uno sforzo internazionale per identificare e perseguire le persone coinvolte nell’operazione ransomware. Un gran giurì federale a Portland ha emesso un’incriminazione sostitutiva contro di lui nel febbraio 2024, accusandolo di cospirazione, frode informatica ed estorsione legata al computer.
Le autorità ucraine hanno successivamente arrestato Vardanyan prima di estradarlo negli Stati Uniti. Ha fatto la sua prima comparsa in tribunale federale nel giugno 2025 ed è rimasto in custodia mentre il procedimento penale procedeva.
Nel luglio 2026, Vardanyan si è dichiarato colpevole di cospirazione e frode in relazione ai computer. La sua sentenza è stata emessa in Oregon il 22 settembre a seguito di un’indagine dell’FBI, con le autorità ucraine che hanno assistito le autorità statunitensi a ottenere il suo arresto ed estradizione.
Ryuk è emerso nel 2018 ed è diventato noto per aver preso di mira organizzazioni più grandi in grado di pagare ingenti riscatti. Il ransomware è stato utilizzato in attacchi contro aziende, organizzazioni sanitarie, scuole e altre istituzioni, spesso causando gravi disordini criptando un gran numero di sistemi.
L’accusa di Vardanyan si è concentrata sulla sua partecipazione agli attacchi tra il 2019 e il 2020 piuttosto che sulla storia completa delle attività Ryuk a livello mondiale. La sua pena detentiva di 24 mesi sarà seguita da tre anni di rilascio supervisionato, mentre l’ordine di restituzione richiede che paghi più di 1,2 milioni di dollari alle vittime coinvolte nel caso.