Een Oekraïense man die vanuit Europa deelnam aan ransomware-aanvallen is in de Verenigde Staten veroordeeld. In de zaak rond de ransomware affiliate veroordeeld is beschreven hoe hij als affiliate meewerkte aan Nefilim en daarnaast vroeg betrokken was bij de Hive-ransomwaregroep.
De rechtbank legde een gevangenisstraf van 70 maanden op. De veroordeling volgt op een arrestatie in Spanje, uitlevering aan de VS en een schuldpleidooi dat later werd ingediend.
Rol als ransomware affiliate bij Nefilim
De veroordeelde heet Artem Aleksandrovych Stryzhak. Hij woonde volgens de zaak in Barcelona en werd in juni 2024 in Spanje aangehouden. Vervolgens werd hij in april 2025 uitgeleverd aan de Verenigde Staten.
In december 2025 pleitte hij schuldig. Volgens rechtbankdocumenten trad Stryzhak in juni 2021 toe tot de Nefilim-operatie als affiliate, waarbij hij de malware inzette bij aanvallen tegen organisaties in zowel de VS als andere landen.
Een belangrijk onderdeel van de overeenkomst was de verdeling van opbrengsten: Stryzhak zou 20% van het losgeld doorbetalen aan de Nefilim-beheerders. Dat wijst erop dat affiliates niet alleen meedraaiden in de aanval, maar ook financieel betrokken waren bij het afpersproces.
Samenwerking en timing van de aanvallen
De documenten schetsen dat Stryzhak als affiliate actief was in de periode van juni 2021 tot oktober 2021. In die tijd richtte hij aanvallen aan op slachtoffers in verschillende sectoren.
Een van de slachtoffers die in de stukken terugkomt is een niet nader genoemde onderneming in de olie- en gastransportsector. Daarmee wordt duidelijk dat de aanpak van ransomwaregroepen doorgaans breed is: niet alleen “consumenten” zijn doelwit, maar ook industriële en logistieke partijen.
Vroege affiliate bij Hive-ransomware
Naast Nefilim blijkt uit de zaak dat Stryzhak ook vroeg betrokken was bij de Hive-ransomwaregroep. Hive zou volgens de beschreven documenten meer dan 1.500 slachtoffers hebben getroffen wereldwijd in de periode van juni 2021 tot januari 2023.
In de rechtbankstukken staat dat Stryzhak de Hive-ransomware gebruikte tegen zeven organisaties. De slachtoffers die expliciet worden genoemd omvatten onder meer een tandartspraktijk, een zorgaanbieder en juridische kantoren.
Bij een aantal van deze slachtoffers betaalden organisaties losgeld. In die gevallen leverden de aanvallers volgens de documenten een decryptiesleutel aan om versleutelde bestanden terug te kunnen krijgen.
Waarom deze veroordeling ertoe doet
De FBI benadrukt in de zaak dat ransomware-aanvallen niet alleen schade veroorzaken aan systemen, maar ook aan continuïteit van dienstverlening. De operations director van de FBI, Brett Leatherman, stelde dat Stryzhak een “prolific cybercriminal” was die samenwerkte met meerdere ransomwaregroepen om Amerikaanse bedrijven en ziekenhuizen te treffen.
In de verklaring wordt bovendien gemeld dat de activiteiten van deze groepen hebben geleid tot meer dan 100 miljoen dollar aan verliezen en dat de verstoring van de dienstverlening gevolgen had voor patiënten.
Openstaand: vervolging van andere leiders
De zaak gaat niet alleen over de veroordeelde affiliate. Volgens de beschreven informatie zoekt de Amerikaanse overheid ook nog naar een andere persoon: Volodymyr Tymoshchuk. Hij wordt gekoppeld aan de Nefilim-administratie en blijft voorgedragen als voortvluchtig.
Daarbij geldt dat het Amerikaanse ministerie van Buitenlandse Zaken informatie probeert te verzamelen die leidt tot arrestatie of veroordeling van Tymoshchuk. De aangeboden beloning kan oplopen tot 10 miljoen dollar. Daarnaast is er een beloning van tot 1 miljoen dollar voor informatie over andere leiders van ransomwaregroepen die hij zou hebben aangestuurd.
Wat kun je als organisatie hiervan leren?
Hoewel dit bericht vooral juridisch van aard is, is de kern voor organisaties praktisch: ransomware operaties leunen op een netwerk van affiliates, partners en beheerders. Dat betekent dat één veroordeling weliswaar helpt, maar dat de bredere keten van aanvallen vaak doorloopt.
Door lessen uit dit soort zaken te vertalen naar je eigen weerbaarheid, verklein je de kans op schade:
- Beperk toegang en privileges: ransomware drijft vaak op het vermogen om verder te komen binnen omgevingen.
- Werk je back-up- en herstelproces bij: slachtoffers krijgen niet altijd tijdig toegang tot werkende decryptie.
- Monitor en reageer op vroege signalen: hoe sneller je detecteert, hoe kleiner de impact van versleuteling.
Wil je breder kijken naar hoe beveiligingsteam ransomware-incidenten kunnen voorbereiden en versnellen in het SOC, dan kan ook dit artikel interessant zijn: Wazuh AI voor SOC-workflows: sneller en slimmer.
Conclusie
De veroordeling van Artem Aleksandrovych Stryzhak laat zien hoe ransomwaregroepen werken met affiliates die zowel technisch als financieel betrokken zijn. De ransomware affiliate veroordeeld kreeg 70 maanden gevangenisstraf voor zijn rol bij Nefilim en voor eerdere betrokkenheid bij Hive, inclusief aanvallen op uiteenlopende organisaties en sectoren.
Voor organisaties is dit vooral een reminder om herstelbaarheid en detectie serieus te nemen, zodat je bij een incident niet alleen “overleeft”, maar ook sneller herstelt.
