Ransom Cartel: 16 anni al fondatore, Moucka ammette 165 breach cloud

🛡️ Executive Summary

• Maksim Silnikau, creatore e amministratore di Ransom Cartel, è stato condannato negli Stati Uniti a 16 anni di carcere.
• Connor Riley Moucka ha ammesso 165 intrusioni cloud, il furto di miliardi di record e ricatti contro aziende compromesse.
• Le indagini internazionali hanno unito estradizioni, analisi finanziarie e cooperazione tra FBI, Secret Service e autorità straniere.

Due procedimenti statunitensi segnano un avanzamento giudiziario contro il ransomware e le estorsioni basate sul furto di dati. Maksim Silnikau, cittadino bielorusso indicato come creatore e amministratore di Ransom Cartel, è stato condannato a 16 anni di carcere per un’attività criminale sviluppata attraverso forum russofoni, strumenti ransomware e infrastrutture dedicate alla gestione dei ricatti. Connor Riley Moucka, canadese collegato alla vasta campagna contro clienti di una piattaforma cloud statunitense associata al caso Snowflake, ha invece ammesso di avere partecipato alla compromissione di almeno 165 organizzazioni, al furto di miliardi di record e alla successiva estorsione delle vittime.

Silnikau riceve 16 anni per Ransom Cartel

Il tribunale federale del distretto orientale della Virginia ha condannato Maksim Silnikau, 40 anni, a 16 anni di reclusione per cospirazione finalizzata a commettere reati contro gli Stati Uniti, frode telematica e furto d’identità aggravato. Secondo la ricostruzione giudiziaria pubblicata dal Dipartimento di Giustizia statunitense, Silnikau ha creato nel 2021 il ransomware Ransom Cartel e ha successivamente reclutato altri partecipanti attraverso forum dedicati al cybercrime. L’operatore distribuiva credenziali sottratte, informazioni sui sistemi compromessi e strumenti destinati alla cifratura delle macchine. Gestiva inoltre un sito nascosto attraverso il quale gli affiliati potevano controllare gli attacchi, comunicare con le vittime, negoziare i riscatti e ripartire i proventi dell’operazione. Tra il 2021 e il 2023, il gruppo ha colpito almeno 18 aziende in diversi Paesi, comprese organizzazioni situate in California, New York e Nebraska. Gli operatori sottraevano i dati prima della cifratura e chiedevano denaro sia per fornire la chiave di decrittazione sia per non pubblicare le informazioni rubate, applicando il modello della doppia estorsione diventato centrale nell’economia ransomware. L’operazione era stata interrotta nel luglio 2023 con l’arresto di Silnikau, successivamente estradato dalla Polonia. Il procedimento conclude una fase iniziata con l’arresto degli operatori collegati a Ransom Cartel e Reveton, quando le autorità avevano ricostruito anche i legami dell’imputato con il malvertising, gli exploit kit e le comunità criminali russofone.

Ransom Cartel nasce da vent’anni di attività nel cybercrime

La condanna non riguarda soltanto una singola famiglia ransomware. I documenti giudiziari descrivono Silnikau come un soggetto attivo nei forum criminali almeno dal 2005 e membro, tra il 2011 e il 2016, del sito Direct Connection, utilizzato per mettere in contatto operatori specializzati in frodi, distribuzione di malware e accessi illeciti. Prima di Ransom Cartel, Silnikau avrebbe svolto un ruolo centrale in campagne di malvertising capaci di indirizzare gli utenti verso exploit kit e payload criminali attraverso annunci pubblicitari compromessi. L’evoluzione verso il ransomware mostra come le competenze maturate nella distribuzione di malware siano state riutilizzate per costruire un’organizzazione orientata all’estorsione. Il modello prevedeva una divisione dei compiti tra chi individuava o acquistava gli accessi iniziali, chi gestiva la cifratura, chi comunicava con le vittime e chi riciclava o distribuiva i pagamenti. La sentenza rappresenta quindi un intervento contro la componente organizzativa del ransomware, non soltanto contro un affiliato incaricato di eseguire materialmente gli attacchi. L’impatto del fenomeno rimane però superiore alla capacità delle autorità di colpire i singoli gruppi: la struttura economica delle organizzazioni Ransomware-as-a-Service permette di sostituire rapidamente infrastrutture, marchi e operatori, mentre gli accessi già compromessi possono essere rivenduti a nuove gang.

Moucka ammette la campagna contro 165 organizzazioni

Nel secondo procedimento, Connor Riley Moucka, 26 anni, residente a Kitchener in Ontario, si è dichiarato colpevole di frode informatica, frode telematica, furto d’identità aggravato e cospirazione. Il comunicato del Dipartimento di Giustizia sulla dichiarazione di colpevolezza descrive una campagna condotta tra febbraio e ottobre 2024 contro almeno 165 clienti di una società SaaS statunitense. Il documento ufficiale non nomina direttamente il fornitore, ma il procedimento è associato alle intrusioni che hanno coinvolto gli ambienti dei clienti Snowflake. Moucka e i suoi complici utilizzavano credenziali precedentemente sottratte per accedere ai database cloud delle aziende, senza dover necessariamente violare l’infrastruttura centrale del provider. Gli attaccanti hanno scaricato terabyte di informazioni e sottratto miliardi di record comprendenti dati finanziari, registri di chiamate e messaggi, informazioni sulle buste paga, numeri di passaporto, patenti, Social Security Number e identificativi professionali della Drug Enforcement Administration. Il caso conferma il problema ricostruito dopo gli accessi non autorizzati agli account Snowflake privi di adeguata protezione multifattore: credenziali valide recuperate da precedenti infezioni infostealer possono aprire l’accesso a enormi quantità di dati quando gli account cloud non applicano MFA, limitazioni di rete e rotazione periodica dei segreti.

I dati rubati alimentano riscatti, vendite e nuovi ricatti

Dopo avere sottratto le informazioni, Moucka e i complici minacciavano di pubblicarle e chiedevano pagamenti alle aziende coinvolte. Il gruppo ha ricevuto oltre 2,5 milioni di dollari in riscatti, mentre Moucka avrebbe ottenuto personalmente almeno 495.000 dollari. Le perdite dirette documentate per le imprese superano 9,5 milioni di dollari, senza comprendere i danni sostenuti dai clienti e dalle persone interessate, stimate in almeno 100 milioni. In almeno un caso, l’imputato ha tentato una seconda estorsione utilizzando dati appartenenti a un funzionario pubblico e ai familiari di un ex funzionario governativo. Le informazioni sottratte venivano inoltre offerte sui forum BreachForums, Exploit.in e XSS.is, oltre che attraverso Telegram. La sequenza dimostra che il pagamento del primo riscatto non garantisce la cancellazione dei dati né la fine delle richieste: la stessa copia può essere venduta, riutilizzata o impiegata per ricattare nuovamente la vittima. Le conseguenze della campagna erano già emerse nei grandi incidenti collegati a Ticketmaster e alle violazioni dei clienti Snowflake e nel caso AT&T, dove i dati di chiamate e messaggi dei clienti erano stati sottratti da un ambiente cloud.

Moucka rischia fino a trent’anni di carcere

Moucka sarà condannato il 27 ottobre 2026. Il reato di furto d’identità aggravato prevede una pena minima obbligatoria di due anni, mentre per le altre contestazioni la pena massima complessiva può raggiungere 30 anni di carcere. L’imputato era stato arrestato in Canada ed estradato negli Stati Uniti nel luglio 2025 dopo un’indagine alla quale hanno collaborato FBI, Royal Canadian Mounted Police, Australian Federal Police, Guardia Civil spagnola, Security Service of Ukraine e polizia turca. Il procedimento rientra nell’operazione Riptide, iniziativa federale destinata a colpire operatori, infrastrutture e circuiti finanziari del cybercrime. La dichiarazione di colpevolezza non chiude necessariamente le indagini sugli altri partecipanti né sulle identità utilizzate durante la pubblicazione dei dati. Le campagne cloud del 2024 sono state infatti associate a ecosistemi criminali sovrapposti, nei quali access broker, operatori di infostealer e gruppi come ShinyHunters condividono forum, infrastrutture e tecniche di estorsione. Le operazioni di ShinyHunters contro servizi cloud e piattaforme CRM mostrano come il bersaglio si sia spostato dalla rete aziendale tradizionale alle identità SaaS, dove un singolo account può esporre dati appartenenti a milioni di persone.

Le condanne colpiscono due generazioni dell’estorsione cyber

Silnikau e Moucka rappresentano due fasi differenti dello stesso mercato criminale. Ransom Cartel appartiene al modello ransomware costruito sulla compromissione della rete, sulla cifratura e sulla gestione centralizzata degli affiliati. La campagna cloud associata a Snowflake dimostra invece che l’estorsione può produrre danni enormi anche senza distribuire ransomware o interrompere i sistemi: è sufficiente ottenere credenziali valide, scaricare i dati e minacciarne la pubblicazione. In entrambi i procedimenti, la monetizzazione dipende dal controllo delle informazioni sottratte e dalla pressione esercitata sulle vittime, mentre l’infrastruttura tecnica cambia in funzione delle difese e delle opportunità disponibili. Le sentenze e le ammissioni di colpevolezza mostrano l’efficacia della cooperazione internazionale nel raggiungere operatori residenti fuori dagli Stati Uniti, ma evidenziano anche la durata necessaria per identificare, arrestare, estradare e processare i responsabili. Per le aziende, la risposta non può dipendere soltanto dalla repressione giudiziaria: protezione MFA degli account cloud, riduzione dei privilegi, monitoraggio dei download massivi e gestione delle credenziali sottratte restano le difese più immediate contro la nuova economia dell’estorsione.