Een belangrijke mijlpaal in de strijd tegen ransomware: Maksim Silnikau, maker en beheerder van het Ransom Cartel-programma, is veroordeeld tot 16 jaar gevangenisstraf. De Amerikaanse autoriteiten melden dat hij een centrale rol had in aanvallen op minstens 18 bedrijven wereldwijd, waarbij gegevens werden buitgemaakt en slachtoffers werden gedwongen te betalen voor decrypties of om verdere publicatie te voorkomen.
De zaak laat zien hoe ransomware-operaties worden ingericht als een “platform” met affiliates, gedeelde tooling en een eigen infrastructuur om aanvallen te plannen, slachtoffers te benaderen en opbrengsten te verdelen.
Waarom Ransom Cartel veroordeeld werd: rol van Maksim Silnikau
Volgens het Amerikaanse ministerie van Justitie kreeg Silnikau zijn straf voor meerdere feiten. Het ging onder meer om samenspanning om strafbare feiten te plegen tegen de Verenigde Staten, samenspanning voor wire fraud en verergerde identiteitsdiefstal.
De aanklagers stellen dat de verdachte al sinds ten minste 2005 actief was op Russisch sprekende cybercriminele fora. Daarbij gebruikte hij verschillende aliasnamen, waaronder “J.P. Morgan”, “xxx” en “lansky”. Ook zou hij hebben deelgenomen aan het Direct Connection-platform tussen 2011 en 2016, tot de site werd gesloten na de arrestatie van de beheerder.
Van ontwikkeling tot affiliates: hoe de ransomware-operator werkte
In gerechtelijke documenten wordt beschreven dat Silnikau de Ransom Cartel-operatie startte met de ontwikkeling in mei 2021. Vervolgens zou hij andere cybercriminelen hebben gerekruteerd via ondergrondse fora om als affiliates aan aanvallen mee te doen.
Die affiliates kregen volgens de rechtbankstukken informatie en hulpmiddelen die gebruikt werden bij intrusies. Denk hierbij aan gestolen inloggegevens voor al gecompromitteerde computers en aan software die systemen kan versleutelen.
Daarnaast werkte Silnikau met een apart affiliateplatform waarmee leden aanvallen konden beheren, met elkaar konden communiceren, afpersingsclaims konden onderhandelen en konden meedelen in de opbrengsten nadat een losgeld was betaald.
Aanvallen op minstens 18 bedrijven en gerichte druk op slachtoffers
Tussen 2021 en 2023 zouden affiliates van Ransom Cartel ten minste 18 bedrijven hebben aangevallen, waaronder organisaties in onder meer Californië, New York en Nebraska, plus slachtoffers buiten de Verenigde Staten.
Bij de aanvallen werd volgens de aanklagers bedrijfsdata gestolen. Vervolgens werd losgeld geëist in ruil voor decryptiesleutels of met de belofte dat de gestolen informatie niet publiek zou worden gemaakt.
De officieren van justitie zeggen dat het programma probeerde minstens $5,2 miljoen aan losgeld af te troeven. Tegelijkertijd identificeerde men in totaal meer dan $6,7 miljoen aan verliezen bij 18 bekende slachtoffers. Omdat niet alle organisaties hun incidenten zouden hebben gemeld, verwachten de autoriteiten dat het totale schadebedrag hoger lag.
Voorbeelden uit de praktijk: medische technologie en juridische infrastructuur
De stukken bevatten ook concrete incidenten. In augustus 2022 zou Ransom Cartel de werkzaamheden hebben verstoord van een medische technologische startup die robotchirurgie ontwikkelt. Die verstoring zou ongeveer twee maanden hebben geduurd.
In mei 2023 zou de bende ook infrastructuur hebben aangevallen die wordt gebruikt door een groep law firms. Daar veroorzaakte de aanval verstoringen die van enkele dagen tot meerdere maanden konden duren.
Volgens de aanklagers betaalde een van de kantoren een losgeld van $125.000 na een verstoring van bijna een maand. Een ander kantoor zou de operatie bijna een maand hebben stilgelegd voordat het $300.000 betaalde. De gecombineerde verliezen die met deze aanvallen samenhingen worden geschat op ongeveer $2,2 miljoen.
Ransomware-as-a-service en kenmerken die onderzoekers zagen
Ransom Cartel ging volgens de berichtgeving publiek van start in december 2021. Onderzoekers zagen code-overeenkomsten met de bekende REvil-encryptor.
Toch werd ook opgemerkt dat Ransom Cartel niet over alle obfuscatiefeatures van REvil beschikte. Onderzoeksconclusies die destijds werden gedeeld, wezen erop dat de ransomware mogelijk was gemaakt door een voormalig kernlid van die eerdere operatie, dat niet beschikte over de complete broncode.
Silnikau zou daarbij een centrale rol hebben gehad in de ransomware-as-a-service-aanpak: affiliates rekruteren, werken met initial access brokers die toegang tot bedrijfsnetwerken leverden, communiceren met slachtoffers en het afhandelen van losgeldbetalingen.
Geldstromen verbergen: mixers en het spoor bij wetshandhaving
Een extra element in de strafzaak is het maskeren van opbrengsten. De autoriteiten melden dat Silnikau losgeldbetalingen via cryptocurrency mixers doorstuurde om het moeilijker te maken voor opsporingsdiensten om de herkomst van de fondsen te volgen.
Dat mechanisme is vooral relevant voor organisaties die incidenten onderzoeken: niet alleen de versleuteling telt, maar ook de manier waarop criminelen de financiële opbrengst organiseren en proberen te onttrekken aan detectie en tracing.
Arrestatie, vlucht en uitlevering naar de VS
De weg naar deze veroordeling was internationaal. De verdachte zou aanvankelijk op 18 juli 2023 in Spanje zijn aangehouden in het kader van een bredere internationale rechtshandhavingsactie.
Volgens het strafdossier vluchtte hij echter terwijl hij wachtte op uitlevering richting de Verenigde Staten. Later werd hij in de berichtgeving gevangen terwijl hij probeerde terug te reizen naar Belarus, vanuit Polen.
Uiteindelijk stemde Silnikau in met uitlevering en werd hij vanuit Polen naar de Verenigde Staten overgebracht om te worden vervolgd in de Eastern District of Virginia.
Wat betekent dit voor organisaties: niet alleen patchen, maar ook simuleren
Deze zaak is niet bedoeld als geruststelling, maar als onderstreping van een patroon: ransomware-operaties werken vaak met vooraf geplande toegang (bijvoorbeeld via toegangsmakelaars), snelle datadiefstal, afpersingscommunicatie en het verpakken van opbrengsten via financiële omwegen.
Voor securityteams betekent dit dat je niet kunt wachten op “grote” incidenten. Je moet controleren of je detectie werkt wanneer aanvallers rustig door je omgeving bewegen — inclusief scenario’s waarin logging wel bestaat, maar onvoldoende leidt tot alarms of snelle interventie.
Het is daarom zinvol om je SIEM- en EDR-regels te testen met breach- en attack-simulaties: zo zie je waar signalen verdwijnen en waar je nog niet alert genoeg reageert. Het doel is simpel: bedreigingen niet pas ontdekken wanneer ze al impact maken, maar eerder, nog vóórdat ze escaleren.
Wil je daarnaast meer lezen over hoe incidentdata en AI in dit soort beveiligingsprocessen kunnen worden gedeeld, dan kan het interessant zijn om ook de SAFE-richtlijnen voor het delen van AI-incidentdata te bekijken. Het helpt om duidelijk te krijgen welke gegevens wel of niet passend zijn bij analyse en samenwerking.
Conclusie: Ransom Cartel veroordeeld, maar de aanpak blijft relevant
Met de veroordeling tot 16 jaar cel laat justitie zien dat een ransomware-operatie — van ontwikkeling en affiliate-netwerk tot afpersing en geldstromen — juridisch kan worden afgedekt. Tegelijkertijd toont de zaak dat organisaties niet alleen moeten focussen op versleuteling, maar ook op de stappen eromheen: toegang, datadiefstal, communicatie en financieel “traceren bemoeilijken”.
Wie ransomware structureel wil terugdringen, doet er goed aan detectie en respons continu te toetsen, zodat aanvallen eerder worden gezien en sneller worden gestopt. Alleen dan blijft het verdienmodel van criminelen minder haalbaar.
