Um membro da operação de ransomware Ryuk foi condenado a dois anos de prisão federal dos EUA por participar de ataques cibernéticos que criptografaram redes corporativas e extraíram mais de 1 milhão de dólares das vítimas.
Karen Vardanyan, uma cidadã armênia de 35 anos, recebeu uma sentença de 24 meses de prisão seguida de três anos de liberdade supervisionada. Um juiz federal também ordenou que ele pagasse US$ 1.219.106 em restituição às vítimas afetadas pela operação de ransomware.
Vardanyan, que usou os pseudônimos online “Maneeken” e “Karl Lagerfeld”, participou da conspiração Ryuk de março de 2019 até aproximadamente junho de 2020. Promotores disseram que a operação teve como alvo empresas, escolas e outras organizações ao redor do mundo, incluindo vítimas nos Estados Unidos.
O grupo obteve acesso não autorizado a redes corporativas antes de implantar o ransomware Ryuk em servidores e estações de trabalho comprometidos. O malware criptografou arquivos e impediu organizações de usar sistemas afetados, enquanto notas de resgate instruíram as vítimas a fazerem pagamentos em criptomoedas, geralmente em Bitcoin, para obter chaves de descriptografia.
Registros judiciais detalharam anteriormente vários ataques ligados a Vardanyan e seus co-conspiradores. Uma empresa de Michigan pagou 200 Bitcoin, no valor de mais de 1,1 milhão de dólares na época, para recuperar o acesso à sua rede. Os atacantes também miraram em uma empresa em Wilsonville, Oregon, e comprometeram uma escola no Texas em fevereiro de 2020.
O caso de Vardanyan seguiu um esforço internacional para identificar e processar pessoas envolvidas na operação de ransomware. Um grande júri federal em Portland emitiu uma acusação supostamente contra ele em fevereiro de 2024, acusando-o de conspiração, fraude de computador e extorsão relacionada a computadores.
As autoridades ucranianas posteriormente prenderam Vardanyan antes de extraditá-lo para os Estados Unidos. Ele fez sua primeira aparição em tribunal federal em junho de 2025 e permaneceu sob custódia enquanto o processo criminal prosseguia.
Em julho de 2026, Vardanyan se declarou culpado de conspiração e fraude em conexão com computadores. Sua sentença foi proferida no Oregon em 22 de setembro após uma investigação do FBI, com autoridades ucranianas auxiliando autoridades americanas para garantir sua prisão e extradição.
O Ryuk surgiu em 2018 e ficou conhecido por mirar em organizações maiores capazes de pagar resgates substanciais. O ransomware foi usado em ataques contra empresas, organizações de saúde, escolas e outras instituições, frequentemente causando perturbações significativas ao criptografar grandes quantidades de sistemas.
A acusação de Vardanyan focou em sua participação em ataques entre 2019 e 2020, em vez de toda a história das atividades de Ryuk no mundo. Sua pena de 24 meses de prisão será seguida por três anos de liberdade supervisionada, enquanto a ordem de restituição exige que ele pague mais de 1,2 milhão de dólares às vítimas envolvidas no caso.