Ransomware: en Suiza piden 12 años para un desarrollador vinculado a LockerGoga, MegaCortex y Nefilim

La acusación: diez empresas afectadas y daños superiores a 130 millones de francos

Los fiscales suizos han solicitado una pena de 12 años de prisión para un desarrollador de software ucraniano de 52 años, procesado ante el Tribunal de Distrito de Zúrich. Las autoridades no han hecho pública su identidad.

El hombre está acusado de haber desempeñado un papel central en una operación internacional de ransomware asociada a las familias LockerGoga, MegaCortex y Nefilim. Según la acusación, habría sido el principal desarrollador de un grupo criminal no identificado dedicado a comprometer redes corporativas, robar datos y cifrar sistemas para exigir pagos a las víctimas.

Los ataques imputados habrían tenido lugar entre diciembre de 2018 y mayo de 2020. Habrían afectado directamente a diez empresas en Suiza y otros países, provocando pérdidas superiores a 130 millones de francos suizos, equivalentes a unos 160 millones de dólares.

La estimación incluye tanto los ingresos perdidos durante la interrupción de las actividades como los gastos derivados de reconstruir infraestructuras, sistemas y datos. Por tanto, no se limita a los posibles rescates pagados, sino que refleja el impacto económico total atribuido a los ataques.

Entre las empresas mencionadas en el procedimiento figuran Stadler Rail, fabricante suizo de trenes; Crealogix, especializada en el desarrollo de software bancario; y Meier Tobler, que opera en el sector de las tecnologías para edificios.

El papel técnico atribuido en la operación criminal

El procedimiento describe una cadena de ataque desarrollada en varias fases. Los atacantes habrían obtenido acceso a las redes corporativas, sustraído información y cifrado posteriormente sistemas y datos, dejándolos inutilizables para las organizaciones afectadas.

Esta combinación permite aumentar la presión sobre la víctima. El cifrado interrumpe las operaciones diarias, mientras que el robo de datos proporciona a los extorsionadores una palanca adicional: la información puede utilizarse para amenazar con su publicación o con otras consecuencias.

El acusado habría actuado como desarrollador principal. La acusación no lo presenta únicamente como un operador con acceso a las redes, sino como una persona implicada en la creación o gestión de las herramientas utilizadas durante las intrusiones. Sin embargo, el escrito judicial no revela detalles sobre el código, las técnicas de acceso inicial, las vulnerabilidades explotadas ni los métodos concretos de exfiltración.

Las tres familias de malware citadas pertenecen a campañas de ransomware conocidas por haber afectado a organizaciones de distintos sectores. En el caso suizo, su uso habría causado daños en los ámbitos industrial, financiero y tecnológico.

El procedimiento cifra en más de 130 millones de francos las pérdidas relacionadas con los diez ataques imputados. La operación internacional en su conjunto habría causado daños por cientos de millones de dólares, pero se desconoce qué parte de esa cantidad puede atribuirse directamente a los hechos examinados por el tribunal de Zúrich.

La defensa niega el desarrollo del malware

El acusado rechaza haber desarrollado ransomware o participado en ataques informáticos. Su explicación es que el código fuente encontrado en sus dispositivos procedía de un cliente de ciberseguridad para el que había trabajado como consultor.

Esta línea de defensa pretende diferenciar la posesión del código de su uso delictivo efectivo. Conservar herramientas o muestras de malware puede responder a motivos profesionales relacionados con el análisis, la respuesta a incidentes o la investigación de seguridad. En este caso, corresponderá al tribunal determinar si la presencia del código es compatible con el trabajo declarado por el acusado o con una participación operativa en los ataques.

La defensa también ha cuestionado la fiabilidad de las pruebas digitales. Los abogados sostienen que los investigadores no conservaron una documentación completa de los datos obtenidos durante los registros.

La cuestión afecta a la trazabilidad de las evidencias: para demostrar que un archivo, dispositivo o elemento de registro puede utilizarse en juicio, es necesario documentar su adquisición, conservación y análisis. Cualquier deficiencia puede afectar al valor probatorio, especialmente cuando la acusación relaciona código, dispositivos y actividades delictivas.

Según la información disponible, se desconoce qué archivos concretos fueron obtenidos, qué metadatos se examinaron o qué procedimientos forenses se aplicaron.

La posible coordinación y los límites de los vínculos con Rusia

La acusación sostiene que otro hacker ucraniano, Oleksandr Ieremenko, que operaba desde Moscú, coordinaba los ataques ejecutados por el acusado en Suiza.

Los fiscales se han referido al testimonio de una fuente en Ucrania según la cual Ieremenko habría contado con la protección del Servicio Federal de Seguridad ruso, el FSB. Ieremenko habría muerto tras caer desde una ventana en Moscú en 2022. No ha sido posible determinar si su muerte se debió a un accidente, un suicidio o un homicidio.

Sin embargo, el procedimiento no ha presentado pruebas de vínculos directos entre el acusado y los servicios de inteligencia rusos. La posible protección de Ieremenko no demuestra, por sí sola, que el acusado tuviera relación con organismos estatales rusos.

Esta distinción es relevante en un caso que combina ciberdelincuencia transnacional, infraestructuras ubicadas en varios países y sospechas sobre figuras operativas con base en Rusia. El tribunal deberá determinar qué elementos se refieren directamente al acusado y cuáles pertenecen al contexto más amplio de la investigación.

Una investigación multinacional iniciada tras los ataques en Zúrich

El procedimiento surge de una investigación iniciada tras varios ataques de ransomware contra empresas de Zúrich en 2019. Posteriormente, la investigación se amplió con la participación de las autoridades de Suiza, Francia, Países Bajos, Noruega, Ucrania y Estados Unidos.

La cooperación involucró a países relacionados con infraestructuras, víctimas, sospechosos o rastros digitales distribuidos entre varias jurisdicciones. En operaciones de este tipo, los servidores, las cuentas, los dispositivos y los flujos financieros pueden encontrarse en distintos Estados, lo que hace necesarias solicitudes de asistencia judicial y actuaciones coordinadas.

El acusado permanece detenido desde octubre de 2021. La acusación también ha solicitado su expulsión de Suiza durante 12 años y la devolución de 1,8 millones de francos suizos, unos 2,2 millones de dólares, considerados ganancias procedentes de actividades delictivas.

La sentencia está prevista para septiembre. Hasta que se adopte una decisión definitiva, las responsabilidades descritas en el procedimiento siguen siendo acusaciones de la fiscalía y no una condena.

El procedimiento también incluye acusaciones relacionadas con material de abuso sexual infantil

Además de los delitos relacionados con el ransomware, el acusado también debe responder a cargos relativos a material de abuso sexual infantil.

Durante un registro, los investigadores habrían encontrado en un contenedor cifrado casi 7.000 imágenes y más de 500 vídeos que mostraban abusos sexuales contra menores. Documentos del Tribunal Supremo Federal confirman que estos cargos forman parte del procedimiento penal.

El material se describe únicamente en la medida necesaria para comprender el alcance de las acusaciones. Su presencia añade una línea judicial diferenciada de la operación de ransomware y de la evaluación de los daños económicos sufridos por las empresas.

Para quienes protegen infraestructuras corporativas, el caso no proporciona parches, herramientas de detección, indicadores técnicos ni procedimientos de contención específicos. No se han revelado versiones de software vulnerables ni una técnica de intrusión concreta que deba corregirse. El caso se centra principalmente en la atribución judicial de una operación criminal y en la reconstrucción de las responsabilidades individuales.