Creatorul Ransom Cartel primește 16 ani: lecții despre economia RaaS

Ransom Cartel nu a fost prima lui afacere. Potrivit rechizitoriului, Silnikau a participat împreună cu Volodymyr Kadariya și Andrei Tarasov la crearea Reveton în 2011 — unul dintre primele modele de ransomware-as-a-service, care între 2012 și 2014 ar fi generat aproximativ 400.000 de dolari lunar. A fost legat și de exploit kit-ul Angler, un pilon al campaniilor de malvertising din anii 2010.

Sunt cincisprezece ani prin trei epoci distincte ale criminalității cibernetice: ransomware cu ecran de blocare în temă polițienească, exploit kit-uri drive-by livrate prin rețele de publicitate și extorsiunea modernă prin criptare, condusă de afiliați. Uneltele s-au schimbat complet. Persoana, nu.

E o corecție utilă pentru felul în care se discută de obicei ransomware-ul în interiorul organizațiilor — ca amenințare care crește brusc, primește un nume și în cele din urmă se retrage. Brandurile se retrag. LockBit e destructurat, Conti se dizolvă, un site de leak-uri amuțește. Operatorii se mută, reconstruiesc și recrutează din nou, pentru că afacerea funcționează.

Pentru o organizație din România care își evaluează expunerea, traducerea practică e că e puțin probabil să fii țintit pentru cine ești. E mult mai probabil să fii selectat pentru că ceva de-al tău era accesibil și ieftin de exploatat — exact tiparul din spatele valului de incidente românești din această vară, de la ANCPI la ANP și Techventures Bank.

• Persoana care construiește ransomware-ul nu e de obicei persoana care îți sparge rețeaua. Silnikau a construit platforma și a recrutat pe alții să execute atacurile
• Acea separare e motivul pentru care profilurile victimelor par aleatorii. Afiliații își aleg țintele după oportunitate — un serviciu expus, un credențial cumpărat, un angajat phishing-uit — nu după intenție strategică
• Înseamnă și că se închiriază capabilitate, nu se dobândește. Un afiliat nu trebuie să scrie cod de criptare, să administreze infrastructură sau să negocieze. Toate îi sunt furnizate
• Și explică reziliența: arestarea unui operator elimină un furnizor, nu cererea. Afiliații merg în altă parte săptămâna următoare

Merită consemnat că acest caz s-a încheiat într-o sală de judecată. Atribuirea și urmărirea penală a operatorilor de ransomware sunt cu adevărat grele — jurisdicții, spălarea infrastructurii, identități pseudonime — iar o sentință de 16 ani pentru cineva activ din 2011 arată că mecanismul chiar funcționează.

Arată însă și scara de timp. Activitatea Reveton datează din 2011. Atacurile Ransom Cartel au rulat între 2021 și 2023. Sentința sosește în 2026. Rezultatele autorităților sunt o descurajare măsurată în ani, nu un control care te protejează în trimestrul acesta.

Asta e încadrarea onestă pentru o discuție cu conducerea. Condamnările sunt vești bune și nu schimbă nimic în privința restanțelor tale la patch-uri, a imutabilității backup-urilor sau a faptului că angajații tăi ar recunoaște sau nu un mesaj de phishing luni dimineață.

Ultimul punct e locul unde apărarea se întâlnește cu descurajarea și depinde de pregătire, nu de hotărâre — o organizație cu backup-uri imutabile și testate poate refuza; una fără ele negociază. Awarely Learning acoperă jumătatea umană a acestei pregătiri, cu awareness bazat pe scenarii în română și engleză, simulări de phishing și inginerie socială, teste, certificate verificabile și un audit trail imutabil care satisface obligația de training din NIS2, prin OUG 155/2024.

• Planifică pentru model, nu pentru brand. Detecția și răspunsul ar trebui să presupună tradecraft de afiliat — credențiale furate, servicii expuse, loadere de larg consum — nu semnătura unei anume grupări
• Presupune că echipa care te lovește închiriază capabilitate. Asta înseamnă că accesul inițial va fi probabil lipsit de glamour, iar bazele tale decid rezultatul: MFA, patch-uri, segmentare, backup-uri imutabile
• Nu trata destructurarea unei grupări drept reducere de risc. Când Conti s-a dizolvat și LockBit a fost lovit, oamenii implicați au continuat să lucreze. Ajustează-ți threat intelligence-ul, nu postura defensivă
• Păstrează dovezile. Urmăririle penale ca aceasta depind de logurile și cooperarea victimelor — același audit trail pe care NIS2 îți cere să îl menții pentru raportare e cel care face posibile dosarele
• Nu plăti, dacă poți evita. Cifra de 5,2 milioane de dolari din acest caz e exact ce a făcut afacerea să merite construită