Ransomware, in Svizzera chiesti 12 anni per uno sviluppatore legato a LockerGoga, MegaCortex e Nefilim

L’accusa: dieci aziende colpite e oltre 130 milioni di franchi di danni

I procuratori svizzeri hanno chiesto una condanna a 12 anni di carcere per uno sviluppatore software ucraino di 52 anni, sotto processo davanti al Tribunale distrettuale di Zurigo. Le autorità non hanno reso pubblica la sua identità.

L’uomo è accusato di aver svolto un ruolo centrale in un’operazione internazionale di ransomware associata alle famiglie LockerGoga, MegaCortex e Nefilim. Secondo l’accusa, sarebbe stato il principale sviluppatore di un gruppo criminale non identificato, impegnato nella compromissione di reti aziendali, nel furto di dati e nella cifratura dei sistemi per ottenere pagamenti dalle vittime.

Gli attacchi contestati sarebbero avvenuti tra dicembre 2018 e maggio 2020. Avrebbero colpito direttamente dieci aziende in Svizzera e in altri Paesi, provocando perdite superiori a 130 milioni di franchi svizzeri, pari a circa 160 milioni di dollari.

La stima comprende sia i ricavi persi durante l’interruzione delle attività sia le spese sostenute per ricostruire infrastrutture, sistemi e dati. Non si tratta quindi soltanto degli eventuali riscatti pagati, ma dell’impatto economico complessivo attribuito agli attacchi.

Tra le società indicate nel procedimento figurano Stadler Rail, produttore svizzero di treni, Crealogix, attiva nello sviluppo di software bancario, e Meier Tobler, che opera nel settore delle tecnologie per gli edifici.

Il ruolo tecnico contestato nell’operazione criminale

Il procedimento descrive una catena d’attacco con più fasi. Gli aggressori avrebbero ottenuto accesso alle reti aziendali, sottratto informazioni e successivamente cifrato sistemi e dati, rendendoli inutilizzabili per le organizzazioni colpite.

Questa combinazione consente di aumentare la pressione sulla vittima. La cifratura interrompe le operazioni quotidiane, mentre il furto dei dati offre agli estorsori un’ulteriore leva: le informazioni possono essere usate per minacciare la pubblicazione o ulteriori conseguenze.

Il ruolo attribuito all’imputato sarebbe quello di sviluppatore principale. L’accusa non lo descrive soltanto come un esecutore con accesso alle reti, ma come una persona coinvolta nella realizzazione o nella gestione degli strumenti utilizzati durante le intrusioni. Il brief giudiziario non rende però noti dettagli sul codice, sulle tecniche di accesso iniziale, sulle vulnerabilità sfruttate o sulle modalità precise di esfiltrazione.

Le tre famiglie malware citate appartengono a campagne ransomware note per aver colpito organizzazioni di diversi settori. Nel caso svizzero, il loro impiego avrebbe prodotto danni distribuiti tra comparti industriali, finanziari e tecnologici.

Il procedimento quantifica in oltre 130 milioni di franchi le perdite relative ai dieci attacchi contestati. L’operazione internazionale nel suo complesso avrebbe causato danni dell’ordine di centinaia di milioni di dollari, ma non è noto quale parte di questa cifra sia direttamente attribuibile ai fatti esaminati dal tribunale di Zurigo.

La difesa nega lo sviluppo del malware

L’imputato respinge le accuse di aver sviluppato ransomware o partecipato ad attacchi informatici. La sua spiegazione è che il codice sorgente trovato sui suoi dispositivi provenisse da un cliente di cybersecurity per il quale aveva lavorato come consulente.

Questa linea difensiva punta a separare il possesso del codice dalla sua effettiva utilizzazione criminale. Conservare strumenti o campioni malware può infatti avere una motivazione professionale in attività di analisi, risposta agli incidenti o ricerca sulla sicurezza. Nel caso specifico, spetterà al tribunale valutare se la presenza del codice sia compatibile con il lavoro dichiarato dall’imputato oppure con un coinvolgimento operativo negli attacchi.

La difesa ha inoltre contestato l’affidabilità delle prove digitali. I legali sostengono che gli investigatori non abbiano conservato una documentazione completa dei dati acquisiti durante le perquisizioni.

Il punto riguarda la tracciabilità delle evidenze: per dimostrare che un file, un dispositivo o un elemento di log possa essere utilizzato in giudizio, è necessario documentare acquisizione, conservazione e analisi. Eventuali lacune possono incidere sul valore probatorio, soprattutto quando l’accusa collega codice, dispositivi e attività criminali.

Non è noto, sulla base delle informazioni disponibili, quali specifici file siano stati acquisiti, quali metadati siano stati esaminati o quali procedure forensi siano state applicate.

Il possibile coordinamento e i limiti dei legami con la Russia

L’accusa sostiene che un altro hacker ucraino, Oleksandr Ieremenko, operativo da Mosca, coordinasse gli attacchi eseguiti dall’imputato in Svizzera.

I procuratori hanno richiamato la testimonianza di una fonte in Ucraina secondo cui Ieremenko avrebbe beneficiato della protezione del Servizio federale di sicurezza russo, l’FSB. Ieremenko sarebbe morto dopo una caduta da una finestra a Mosca nel 2022. Non è stato possibile stabilire se la morte sia stata provocata da un incidente, da un suicidio o da un omicidio.

Il procedimento, tuttavia, non ha presentato prove di collegamenti diretti tra l’imputato e l’intelligence russa. La possibile protezione di Ieremenko non dimostra quindi, da sola, un rapporto dell’imputato con apparati statali russi.

Questa distinzione è rilevante in un caso che combina criminalità informatica transnazionale, infrastrutture situate in più Paesi e sospetti su figure operative con base in Russia. Il tribunale dovrà stabilire quali elementi siano direttamente riferibili all’imputato e quali appartengano invece al contesto più ampio dell’indagine.

Un’indagine multinazionale iniziata dopo gli attacchi a Zurigo

Il procedimento nasce da un’indagine avviata dopo attacchi ransomware contro aziende di Zurigo nel 2019. L’inchiesta si è poi estesa con la partecipazione delle autorità di Svizzera, Francia, Paesi Bassi, Norvegia, Ucraina e Stati Uniti.

La cooperazione ha coinvolto Paesi interessati da infrastrutture, vittime, sospetti o tracce digitali distribuite su più giurisdizioni. In operazioni di questo tipo, server, account, dispositivi e flussi finanziari possono trovarsi in Stati diversi, rendendo necessarie richieste di assistenza giudiziaria e attività investigative coordinate.

L’imputato è detenuto da ottobre 2021. L’accusa ha chiesto anche la sua espulsione dalla Svizzera per 12 anni e la restituzione di 1,8 milioni di franchi svizzeri, circa 2,2 milioni di dollari, considerati proventi di attività criminali.

La sentenza è attesa a settembre. Fino alla decisione definitiva, le responsabilità descritte nel procedimento restano contestazioni dell’accusa e non una condanna.

Nel procedimento anche accuse relative a materiale pedopornografico

Oltre ai reati legati al ransomware, l’imputato deve rispondere anche di accuse riguardanti materiale di abuso sessuale su minori.

Durante una perquisizione, gli investigatori avrebbero trovato in un contenitore cifrato quasi 7.000 immagini e oltre 500 video raffiguranti abusi sessuali su minori. Documenti della Corte Suprema federale confermano che queste contestazioni rientrano nel procedimento penale.

Il materiale viene descritto solo nella misura necessaria a comprendere l’ampiezza delle accuse. La sua presenza introduce un ulteriore filone giudiziario, distinto dall’operazione ransomware e dalla valutazione dei danni economici subiti dalle aziende.

Per chi difende infrastrutture aziendali, il caso non indica patch, strumenti di rilevamento, indicatori tecnici o procedure di contenimento specifiche. Non sono state rese note versioni software vulnerabili né una singola tecnica di intrusione da correggere. La vicenda riguarda soprattutto l’attribuzione giudiziaria di un’operazione criminale e la ricostruzione delle responsabilità individuali.