Un tribunal de Estados Unidos impuso una pena de 70 meses de prisión a Artem Aleksandrovych Stryzhak, acusado de colaborar como afiliado de las operaciones de ransomware Nefilim y Hive. Stryzhak, ciudadano ucraniano que residía en Barcelona, fue detenido en España en junio de 2024 y extraditado a EE. UU. en abril de 2025; se declaró culpable en diciembre de 2025.
Qué hizo y cómo operaba
Según documentos del proceso, Stryzhak se unió a Nefilim en junio de 2021 y actuó como afiliado hasta octubre de 2021. En ese modelo de negocio criminal, los afiliados acceden a la infraestructura del grupo (herramientas de cifrado, servidores de mando y control, portales de pago) para comprometer redes y extorsionar a las víctimas; a cambio, entregan un porcentaje de los rescates a los operadores centrales.
En su caso, Stryzhak acordó con el administrador de Nefilim, identificado en la documentación como Volodymyr Tymoshchuk, pagar el 20% de las sumas recaudadas por los rescates. Los registros judiciales indican que una de las víctimas atacadas por Stryzhak fue una empresa del sector del transporte de petróleo y gas.
Vinculación con Hive y alcance de las intrusiones
Los documentos también apuntan que Stryzhak estuvo entre los primeros afiliados que colaboraron con el grupo Hive, otro operador de ransomware. Hive llegó a afectar a más de 1.500 víctimas entre junio de 2021 y enero de 2023, y Stryzhak habría usado Hive contra al menos siete organizaciones, entre ellas una clínica dental, un proveedor de atención sanitaria y despachos de abogados. En varios casos las víctimas pagaron y recibieron una clave de descifrado.
Consecuencias y declaraciones oficiales
El tribunal condenó a Stryzhak por conspiración para cometer fraude informático. En declaraciones citadas en la causa, responsables del FBI describieron al condenado como un cibercriminal prolífico que colaboró con múltiples grupos y contribuyó a ataques que afectaron servicios sanitarios y empresas en EE. UU., causando pérdidas económicas significativas.
El proceso también mantiene en el foco a otros líderes de estas redes. El Departamento de Estado de EE. UU. ha ofrecido recompensas por información que lleve al arresto o condena del presunto administrador Tymoshchuk, que continúa en paradero desconocido, y por otros cabecillas vinculados a los grupos.
Qué cambia y qué deben hacer administradores y propietarios de sitios
La condena de un afiliado y la presión internacional sobre líderes de ransomware muestran que la persecución penal y la cooperación transnacional siguen siendo herramientas relevantes contra estas amenazas. Para administradores y dueños de webs y servidores, las consecuencias prácticas son claras:
- Mantener copias de seguridad periódicas, aisladas y verificadas para poder restaurar servicios sin pagar un rescate.
- Aplicar políticas de segmentación de red y principios de mínimo privilegio para limitar el movimiento lateral de un atacante.
- Actualizar y parchear sistemas y aplicaciones, especialmente accesos remotos y servicios expuestos a Internet.
- Implementar detección de intrusiones y registros (logs) centralizados que faciliten la respuesta y la investigación forense tras un incidente.
Nota: La noticia se basa en documentos judiciales y comunicados públicos referidos al caso; los detalles sobre montos exactos de rescates y la identidad de todas las víctimas no fueron publicados en las fuentes consultadas.
Lee también:
- Investigadores atribuyen a Volt Typhoon la red encubierta ‘Silent Train’ usada en cuatro campañas con zero-days
- PHP2Shell: sin confirmación de sitios WordPress comprometidos; actualice PHP y reinícielo
Fuente: SecurityWeek
