Svizzera: 12 anni e 9 mesi a sviluppatore ransomware ucraino

Il Tribunale distrettuale di Zurigo ha condannato l'11 settembre 2026 uno sviluppatore ucraino di 52 anni a 12 anni e 9 mesi di carcere per aver creato il codice di tre famiglie ransomware che hanno colpito centinaia di obiettivi mondiali, tra cui Stadler Rail, Meier Tobler e Crealogix. La sentenza supera la richiesta dell'accusa di 12 anni e include un divieto di ingresso in Svizzera per 10 anni. L'uomo era in custodia cautelare dal novembre 2021.

Quando il "consultant's defense" incontra i template del riscatto

Il nucleo giudiziario del caso non sta nel danno causato, bensì nel criterio con cui il tribunale ha stabilito la colpevolezza dell'imputato. L'uomo ha sempre negato di sapere che il proprio software venisse utilizzato per scopi criminali, sostenendo che il codice sorgente trovato nella sua abitazione nel Canton Basilea Campagna derivasse da un incarico di consulenza informatica per un cliente non identificato. La corte ha respinto questa argomentazione perché tra i suoi dati risultavano anche messaggi di estorsione.

Secondo SWI swissinfo.ch, il tribunale ha precisato che il tecnico "non era il mandante delle operazioni, ma ha sviluppato il malware e lo ha passato agli istigatori, che rimangono ignoti". Questa distinzione gerarchica è centrale: la sentenza colpisce chi fornisce la componente tecnica, non chi coordina l'attacco finale. Il modello di business implicito è quello del developer-for-hire applicato al crimeware, in cui la specializzazione del lavoro si frammenta tra creatori di payload e operatori di accesso.

I numeri di un ecosistema: da 500 GB a centinaia di milioni

L'attacco a Stadler Rail del 2020, attribuito alla famiglia Nefilim, ha portato al furto di circa 500 gigabyte di dati confidenziali con una richiesta di riscatto di 6 milioni di dollari. Stadler Rail ha rifiutato il pagamento. Secondo la procura, i danni totali delle operazioni ammontano a circa 100 milioni di franchi svizzeri, equivalenti a circa 123 milioni di dollari.

The Record, in una cronaca precedente al verdetto, riportava una stima diversa: 130 milioni di franchi svizzeri di danni da dieci attacchi diretti tra dicembre 2018 e maggio 2020, con costi di ricostruzione e mancato fatturato inclusi. In quella stessa fase istruttoria, la procura aveva chiesto il confisca di 1,8 milioni di franchi di proventi criminali. La discrepanza tra le cifre successive riflette l'incertezza naturale nella quantificazione dei danni ransomware, dove i costi indiretti di interruzione operativa possono superare il riscatto stesso.

"La corte ha respinto quella spiegazione perché tra i suoi dati risultavano anche messaggi di estorsione"

La gerarchia impunita: chi scrive il codice in cella, chi lo commissiona forse morto

La sentenza evidenzia un asimmetria sistemica nella giustizia cybercriminale. Secondo The Register, Volodymyr Tymoshchuk è stato formalmente incriminato negli Stati Uniti "l'anno scorso" come presunto mandante, con un taglia FBI di 11 milioni di dollari. Tymoshchuk risulta tuttora latitante e nella lista dei più ricercati dell'FBI. Un altro nome circolato nelle indagini, Oleksandr Ieremenko, emerge da The Record come presunto organizzatore con presunte connessioni al Servizio Federale di Sicurezza russo; secondo SWI swissinfo.ch, questo "presunto istigatore" avrebbe "cooperato con i servizi segreti russi prima di morire cadendo da una finestra a Mosca nel novembre 2022".

I procuratori hanno collegato gli attacchi informatici alla strategia russa di seminare disordine, ma non hanno presentato prove che il condannato avesse legami diretti con i servizi di intelligence. Questo limite investigativo è significativo: il tribunale ha punito la partecipazione tecnica al crimeware senza stabilire connessioni statali, lasciando le eventuali matrici geopolitiche nel campo delle allegazioni non provate.

Stadler Rail, due volte bersaglio: la persistenza del rischio enterprise

L'inclusione di Stadler Rail tra le vittime porta un dato oltre la cronaca giudiziaria. L'azienda svizzera di costruzioni ferroviarie è stata colpita due volte: nel 2020 da Nefilim, famiglia collegata al condannato, e nel 2026 da Everest, gruppo distinto. In entrambi i casi Stadler ha rifiutato il pagamento. La recidività illustra una dinamica spesso sottovalutata: la non-pagamento del riscatto non immunizza dal ripetersi dell'esposizione, poiché le vulnerabilità strutturali e la visibilità come obiettivo high-value possono attrarre operatori diversi nel tempo.

Il caso non fornisce dettagli tecnici sulle modalità di distribuzione delle tre famiglie ransomware né sulle infrastrutture di comando e controllo. Le fonti concordano sul ruolo dello sviluppatore come creatore del codice, ma non documentano se partecipasse anche alle fasi successive di accesso iniziale, movimento laterale o esfiltrazione dati.

Perche e importante

La sentenza di Zurigo si colloca tra le più severe al mondo per reati connessi a ransomware, segnalando che le giurisdizioni stanno estendendo la responsabilità penale oltre gli operatori frontali per includere i fornitori tecnici. Per gli sviluppatori che operano nella zona grigia tra sicurezza offensiva e crimeware, il caso stabilisce che la coesistenza di codice maligno e template di estorsione sui propri dispositivi può bastare a smantellare una difesa fondata sulla legittimità dell'incarico.

Il giudizio non è definitivo ed è appellabile. Non emerge dalle fonti se la condanna del settembre 2026 abbia incluso anche le accuse relative a materiale di abuso sessuale su minori, emerse da un contenitore crittografato con circa 7.000 immagini e oltre 500 video, o se quelle rimangano oggetto di procedimenti separati. Il dossier non specifica inoltre se la pena sarà espiata in Svizzera o se è previsto un trasferimento in Ucraina.

L'asimmetria finale resta quella tra chi scrive il software e chi lo monetizza: 12 anni e 9 mesi per lo sviluppatore, 11 milioni di dollari di taglia per il presunto mandante ancora libero, morte ambigua per un presunto organizzatore a Mosca. La sentenza è un segnale forte, ma il segnale non arriva a tutti i livelli della catena del crimeware.

Fonti

• https://www.theregister.com/security/2026/09/15/swiss-court-sentences-52-year-old-ukrainian-ransomware-dev-to-nearly-13-years-in-the-cooler/5296482
• https://www.swissinfo.ch/eng/swiss-politics/ukrainian-hacker-jailed-in-switzerland-over-ransomware-attacks/92040952
• https://dev.ua/en/news/u-shveitsarii-zasudyly-ukrainskoho-khakera-1789128363
• https://therecord.media/ukrainian-software-developer-court-switzerland
• https://ua.news/en/world/u-shveitsariyi-ukrayinskogo-khakera-zasudili-za-ataki-z-programami-vimagachami
• https://therecord.media/stadler-refuses-everest-ransom-demand
• https://www.theregister.com/security
• https://www.theregister.com/cyber_crime

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti