Fiscales federales han imputado a tres ciudadanos rusos por gestionar una infraestructura que presuntamente facilitó ataques de ransomware, malware y phishing contra organizaciones en Estados Unidos y el resto del mundo. Tras una investigación de siete años, se ha vinculado su actividad con pérdidas superiores a los 62 millones de dólares en sectores esenciales.

Fiscales federales han acusado a tres ciudadanos rusos por mantener una infraestructura que presuntamente permitió el uso de ransomware, malware, phishing y otros ciberataques contra organizaciones en los Estados Unidos y el extranjero.

La investigación de siete años vincula esta actividad con pérdidas para las víctimas de más de 62 millones de dólares en sectores esenciales.

La presunta operación no dependía de una sola familia de malware con nombre propio. En su lugar, se centraba en el alojamiento de internet diseñado para permanecer disponible a pesar de las denuncias por abuso, permitiendo que clientes criminales operaran sistemas, ocultaran su actividad y atacaran a las víctimas.

Bancos, escuelas, hospitales, organismos gubernamentales y empresas de medios de comunicación se encuentran entre los afectados.

Justice.gov indicó en un informe que Media Land y ML.Cloud presuntamente proporcionaron a los cibercriminales la infraestructura de servidores y el soporte técnico necesarios para infectar ordenadores, desplegar ransomware y exigir pagos en dinero o criptomonedas.

Los servicios también habrían apoyado el phishing, ataques de adivinación de contraseñas, registros fraudulentos de dominios y mercados criminales.

El caso demuestra por qué la infraestructura detrás de los ataques puede ser tan dañina como las personas que los lanzan. Cuando los proveedores de alojamiento protegen a sabiendas a usuarios criminales, pueden hacer que las campañas a gran escala sean más difíciles de rastrear, interrumpir y detener antes de que lleguen a su próxima víctima.

Fiscales de EE. UU. Acusan a Trío Ruso de Cibercrímenes

Un gran jurado federal presentó la acusación en diciembre de 2024, imputando a Alexander Alexandrovich Volosovik, Kirill Andreevich Zatolokin y Yulia Vladimirovna Pankova cargos de fraude informático, fraude electrónico, lavado de dinero y delitos de conspiración relacionados.

La acusación fue revelada por la Fiscalía de los Estados Unidos para el Distrito Norte de Ohio.

Los fiscales también mencionaron a Media Land LLC y ML.Cloud LLC, con sede en San Petersburgo, que presuntamente operaban como los llamados proveedores de alojamiento blindado (bulletproof hosting).

Estos servicios se comercializan para usuarios que buscan servidores capaces de resistir solicitudes de baja, creando una base resiliente para actividades maliciosas.

Puedes aprender más sobre las empresas de alojamiento blindado que enfrentan cargos y su papel en la economía del cibercrimen.

Según el Departamento de Justicia, Media Land operaba infraestructura en varios países, incluidos China, Finlandia, los Países Bajos y los Estados Unidos.

Los fiscales alegan que sus servicios apoyaron a clientes que infectaron sistemas de víctimas y luego intentaron extorsionarlos para obtener pagos.

Las víctimas se encontraban en 21 estados de EE. UU., así como en Australia, Canadá, la Unión Europea, los Emiratos Árabes Unidos y el Reino Unido. En Ohio, los lugares afectados incluyeron Akron, Cleveland, Elyria, Medina, Solon y Valley View.

El programa Rewards for Justice del Departamento de Estado de los EE. UU. ofrece hasta 10 millones de dólares y la posibilidad de reubicación por información procesable sobre asociados vinculados a gobiernos extranjeros de los acusados, su presunta actividad o el uso de Media Land y ML.Cloud por parte de gobiernos extranjeros.

La Represión de la Infraestructura Aumenta los Costes

Esta acción se basa en las sanciones anunciadas en noviembre de 2025, cuando las autoridades de EE. UU., Reino Unido y Australia señalaron a Media Land por facilitar presuntamente operaciones de ransomware, ataques de denegación de servicio distribuido (DDoS) y otras actividades maliciosas.

La Unión Europea también anunció sanciones el 13 de julio, aumentando la presión sobre la presunta red.

Las sanciones pueden interrumpir los cimientos financieros y técnicos que sustentan el cibercrimen, pero no eliminan la amenaza general.

Sanciones anteriores a proveedores de alojamiento rusos demostraron cómo las autoridades están atacando cada vez más los servicios que hacen que las campañas de ransomware, estafas y malware sean más duraderas.

Para quienes defienden la red, el caso refuerza la necesidad de reducir las oportunidades de los atacantes antes de que una intrusión se convierta en un evento de extorsión.

Tú y tu organización deberíais mantener los sistemas actualizados, usar autenticación de múltiples factores, monitorizar inicios de sesión y conexiones salientes inusuales, mantener copias de seguridad offline probadas y asegurar que el personal pueda reconocer mensajes de correo electrónico sospechosos.

Las tendencias actuales de ataques de phishing y ransomware muestran por qué estos controles básicos siguen siendo importantes.

La Agencia de Seguridad de Infraestructura y Ciberseguridad también ha destacado su guía conjunta BulletProof Defense como un recurso para ayudar a las organizaciones a reducir la eficacia de la infraestructura de alojamiento maliciosa.

Comprender los riesgos del alojamiento del ransomware Qilin puede ayudar aún más a los equipos de seguridad a reconocer por qué los servidores detrás de un ataque merecen tanta atención como el propio malware.

Los cargos siguen siendo alegaciones y los acusados se presumen inocentes a menos que se demuestre su culpabilidad en el tribunal. Aun así, el caso señala los esfuerzos internacionales continuos para exponer a los proveedores, operadores y estructuras financieras que permiten a los grupos cibercriminales trabajar a través de las fronteras.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios están intencionadamente desactivados (por ejemplo, [.]) para evitar la resolución o el enlace accidental. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.