La Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de los EE. UU. ha impuesto sanciones a First VPN Service (1VPNS), un proveedor de VPN acusado de facilitar infraestructura a grupos de ransomware que atacan organizaciones estadounidenses. Las medidas también afectan al administrador de 1VPNS, Dmytro Rashevskyi, y al proveedor de servicios de ofuscación de malware, Yegeniy Vladimirovich Silayev.

La Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de los EE. UU. ha impuesto sanciones a First VPN Service (1VPNS), un proveedor de VPN acusado de suministrar infraestructura a grupos de ransomware que atacan organizaciones estadounidenses.

La medida también afecta al administrador de 1VPNS, Dmytro Rashevskyi, y al proveedor de servicios de ofuscación de malware, Yegeniy Vladimirovich Silayev.

Según el Tesoro, los operadores de ransomware utilizaron la infraestructura de 1VPNS para ocultar su origen, desplegar cargas útiles maliciosas y gestionar datos robados durante las operaciones de extorsión.

Se informa que las víctimas incluyeron empresas estadounidenses, firmas de servicios financieros, hospitales y gobiernos municipales. La actividad del ransomware causó pérdidas de miles de millones de dólares en empresas estadounidenses y proveedores de infraestructuras críticas.

La tecnología VPN tiene aplicaciones legítimas de privacidad y seguridad, ya que permite a los usuarios cifrar el tráfico de red y enmascarar sus direcciones IP.

El Tesoro de EE. UU. apunta a la VPN

Sin embargo, la OFAC afirmó que 1VPNS se promocionaba directamente en foros de cibercriminales y promovía una política de no registro de logs, junto con la negativa a cooperar con las investigaciones de las autoridades relacionadas con actividades maliciosas originadas en sus servidores.

El Tesoro señaló que el servicio se había anunciado en múltiples foros criminales desde 2014. Presumiblemente, Rashevskyi utilizó identidades falsas, como “Maksim Sorin” y “Roman Chabanenko”, para comprar servidores y otra infraestructura de proveedores que, de otro modo, habrían rechazado su negocio debido a las denuncias por abuso.

Las sanciones se producen tras una operación internacional de fuerzas del orden en mayo de 2026 que desmanteló el sitio web de 1VPNS y la infraestructura asociada. Las autoridades europeas llevaron a cabo la acción con el apoyo de la oficina de campo del FBI en Boston.

El FBI también emitió un aviso de ciberseguridad detallando los indicadores y tácticas asociadas al servicio, con el fin de ayudar a las organizaciones a identificar y prevenir intrusiones de ransomware. La OFAC también designó a Silayev, descrito como un nacional bielorruso que suministraba “cryptors” a operadores de ransomware.

Los cryptors son herramientas diseñadas para empaquetar, cifrar u ofuscar el malware para que parezca benigno y pueda evadir los motores antivirus, las herramientas de detección de endpoints y otros controles de seguridad.

A diferencia del software de cifrado ordinario diseñado para proteger datos legítimos, el Tesoro afirmó que estos servicios se utilizaban para hacer que el malware fuera más sigiloso y eficaz contra objetivos estadounidenses y aliados.

Las designaciones se emitieron bajo la Orden Ejecutiva 13694, según enmendada, y respaldan la Orden Ejecutiva 14390, firmada en marzo de 2026, que ordena a las agencias federales combatir el cibercrimen extranjero, el fraude, la extorsión y las amenazas relacionadas.

Como resultado, todas las propiedades e intereses pertenecientes a las personas y entidades nombradas dentro de la jurisdicción de los EE. UU. están bloqueados.

En general, se prohíbe que las personas estadounidenses realicen transacciones que involucren a las partes sancionadas a menos que la OFAC lo autorice. Las restricciones también se extienden a entidades propiedad en un 50% o más de una o más personas bloqueadas.

La acción fue coordinada con la Oficina de Asuntos Exteriores, Mancomunidad y Desarrollo del Reino Unido, que también anunció sanciones contra cibercriminales y sus facilitadores.

El Tesoro afirmó que esta medida refleja una estrategia más amplia para interrumpir los servicios de los que dependen los grupos de ransomware, incluyendo el alojamiento anónimo, el acceso VPN, la ofuscación de malware y la infraestructura de gestión de datos robados.