El ransomware Ryuk: una empresa de Armenia se declara culpable y enfrenta una pena máxima de 15 años

La ciudadana armenia Karen Serobovich Vardanyan se declaró culpable el 8 de julio ante un tribunal federal en el estado de Oregón (EE. UU.), aceptando los cargos de conspiración y fraude informático. Se le acusa de haber ayudado a ejecutar actividades de ataques con el ransomware Ryuk. Esta acción recaudó aproximadamente 1.610 bitcoins, con un valor en el momento del pago de más de 15 millones de dólares. En total, por ambos cargos se enfrenta a un máximo de 15 años de prisión; la fecha de sentencia se fijó para el 22 de septiembre.

Mecanismo de ataque del ransomware Ryuk: intrusión en redes empresariales, cifrado de archivos y proceso de rescate en bitcoin

（Fuente: sitio web del Departamento de Justicia de EE. UU.）

De acuerdo con la acusación detallada de la Oficina del Fiscal Federal del estado de Oregón, el flujo de funcionamiento de los ataques del ransomware Ryuk es el siguiente: después de que el grupo criminal invade la red de la empresa, instala el malware Ryuk en cientos de estaciones de trabajo y servidores. El software bloquea y cifra todos los archivos de la víctima hasta que se pague el rescate; luego deja una carta de extorsión, que exige a la víctima proporcionar una dirección de correo electrónico y pagar el rescate en bitcoin; tras que la víctima se ponga en contacto con los atacantes, se negocia el monto del rescate. Después de que se paga, el atacante proporciona la clave de descifrado para restaurar el acceso del sistema.

Un comunicado de prensa del Departamento de Justicia de EE. UU. del 9 de julio indica que la carta de extorsión exige que las víctimas paguen el rescate en bitcoin y proporcionen una dirección de correo electrónico de contacto.

Tres víctimas conocidas y el alcance de la extorsión en bitcoin

Según los informes, las víctimas conocidas de la operación de ransomware Ryuk incluyen:

Empresa de Michigan: pagó 200 bitcoins para recuperar el acceso a la red; valor aproximado de 1,1 millones de dólares al momento del pago

Empresa tecnológica en Wilsonville, Oregón: se convirtió en objetivo del ataque (no se revelaron pérdidas específicas)

Una escuela en Texas: sufrió un ataque en febrero de 2020 (no se revelaron pérdidas específicas)

En esta acción se recaudaron en total aproximadamente 1.610 bitcoins; el valor total en el momento del pago superó los 15 millones de dólares. La fiscalía aún no ha publicado la lista completa de víctimas ni ha proporcionado registros de transacciones de billeteras o detalles de los pagos.

Preguntas frecuentes

¿Qué cargos penales enfrenta Karen Vardanyan y cuál podría ser la condena final?

De acuerdo con la explicación de la Fiscalía Federal de Oregón, Vardanyan se declaró culpable de dos cargos: conspiración (máximo 5 años) y fraude informático (máximo 10 años). En total, se enfrenta a un máximo de 15 años de prisión. Cada cargo conlleva además una multa de 250.000 dólares y una libertad supervisada de tres años. El cargo de extorsión aún no se ha resuelto debido al acuerdo de declaración de culpabilidad; la sentencia está programada para el 22 de septiembre de 2026 y el tribunal considerará en conjunto el monto de la reparación, el acuerdo de culpabilidad y las pautas federales de sentencia.

¿Qué es el ransomware Ryuk y cómo ataca a las empresas?

Según los informes, Ryuk es un tipo de malware que se dirige a los archivos de las víctimas y los cifra hasta que se paga el rescate. Los atacantes primero acceden a la red de la empresa, instalan el malware en cientos de estaciones de trabajo y servidores, y luego dejan una carta de extorsión exigiendo el pago del rescate en bitcoin; tras el pago, el atacante proporciona la clave de descifrado para restaurar el acceso de la víctima a los sistemas.

¿Qué arreglos de reparación incluye el acuerdo de declaración de culpabilidad de Vardanyan?

De acuerdo con los informes, como parte del acuerdo de culpabilidad, Vardanyan acepta pagar más de 1,1 millones de dólares en concepto de reparación; el tribunal de Portland llevará a cabo una nueva revisión de la sentencia el 22 de septiembre de 2026. El tribunal decidirá la condena final considerando el monto de la reparación, el acuerdo de declaración de culpabilidad y las pautas federales de sentencia.