Il 13 luglio 2026 l’Office of Foreign Assets Control del Tesoro statunitense ha sanzionato due persone e un’entità per aver fornito strumenti e infrastrutture ai gruppi ransomware. I bersagli sono il fornitore VPN First VPN Service (1VPNS), il suo amministratore e un venditore di cryptor che mascherano il malware. L’OFAC afferma che i gruppi ransomware che usavano questi servizi hanno causato miliardi di dollari di danni a imprese e infrastrutture critiche statunitensi.
Il ransomware non è un singolo hacker con un portatile. È una filiera, e questa settimana gli Stati Uniti hanno colpito i fornitori.
Il 13 luglio 2026 l’Office of Foreign Assets Control (OFAC) del Tesoro statunitense ha designato due persone e un’entità per aver reso possibili gli attacchi ransomware. L’entità è First VPN Service (1VPNS), un fornitore di rete privata virtuale i cui clienti principali erano attori ransomware, usata per nascondere l’origine degli attacchi, distribuire malware e gestire i dati rubati. L’OFAC ha designato anche l’amministratore di 1VPNS, Dmytro Rashevskyi, e Yegeniy Vladimirovich Silayev, cittadino bielorusso che vende cryptor capaci di mascherare il malware come file innocui. L’azione è stata coordinata con il Regno Unito e segue un’operazione di polizia europea del maggio 2026 contro l’infrastruttura di 1VPNS.
Il ransomware gira su servizi che si possono comprare
L’azione dell’OFAC nomina un fornitore VPN e un venditore di cryptor i cui clienti paganti erano gruppi ransomware. Uno nascondeva l’origine degli attacchi e spostava i dati rubati; l’altro mascherava il malware perché gli strumenti di sicurezza non lo segnalassero. Gli strumenti che fanno funzionare il ransomware sono un mercato, e chi difende ha di fronte l’intero mercato, non un singolo attore.
Cosa ha annunciato il Tesoro
Le designazioni del 13 luglio, secondo i comunicati dell’OFAC e del Dipartimento di Stato:
- First VPN Service (1VPNS), un fornitore VPN i cui clienti principali erano attori ransomware e altri criminali informatici.
- Dmytro Rashevskyi, amministratore di 1VPNS, che ha usato false identità tra cui Maksim Sorin e Roman Chabanenko per acquistare hosting.
- Yegeniy Vladimirovich Silayev, cittadino bielorusso che vende cryptor per mascherare il malware come file innocui.
- La misura è stata coordinata con il Regno Unito e segue un’operazione europea del maggio 2026 contro l’infrastruttura di 1VPNS, con il supporto dell’FBI.
Le sanzioni in numeri
I dati provengono dai comunicati del Tesoro e del Dipartimento di Stato del 13 luglio 2026 e dalle ricostruzioni dell’operazione europea precedente. L’OFAC descrive i danni come miliardi di dollari ma non pubblica una cifra totale esatta, quindi qui non se ne indica una precisa.
Perché mascherare il malware è un servizio a pagamento
I gruppi ransomware che utilizzano i servizi di queste persone hanno causato miliardi di dollari di danni alle imprese e ai fornitori di infrastrutture critiche statunitensi.
Dai forum aperti a un’operazione coordinata
Le sanzioni sono l’ultimo passo di un caso durato anni. Per il quadro generale di come vengono usati questi strumenti, vedi come si sviluppa un attacco ransomware. Segue la sequenza descritta dal Tesoro e dalle ricostruzioni delle forze dell’ordine.
L’operazione in quattro numeri
Il caso 1VPNS in quattro numeri
Tesoro USA OFAC e Operazione Saffron, dal 2021 al 2026
Cosa significa l’ecosistema per chi difende
La tabella collega ogni servizio abilitante a ciò che offriva ai gruppi ransomware e alla lezione difensiva che un team di sicurezza può trarne.
| Servizio abilitante | Cosa offriva ai gruppi ransomware | Lezione difensiva |
|---|---|---|
| VPN a prova di proiettile (1VPNS) | Nascondeva l’origine degli attacchi, distribuiva malware e spostava i dati rubati, senza tenere log | Non fidarsi solo dell’IP di origine; sorvegliare le infrastrutture di anonimizzazione |
| Cryptor (Silayev) | Mascherava il ransomware come file sicuri per eludere il rilevamento a firma | L’antivirus a firma non basta; usare EDR comportamentale con protezione anti-manomissione |
| Identità false | Permettevano all’amministratore di comprare hosting che altrimenti lo avrebbe rifiutato | Segnalare gli abusi ai provider conta: è così che iniziano le operazioni di contrasto |
| Sanzioni coordinate | Ora congelano i beni e tagliano fuori gli abilitatori dal mercato USA | Trattare con un soggetto sanzionato comporta un rischio legale a sé |
Cosa va storto quando si ignora la filiera
Trattare il ransomware come il problema di un singolo attore ignora come funziona davvero. Ecco le modalità di fallimento che il caso 1VPNS mette in evidenza.
- â›” Trattare il ransomware come un operatore isolato quando gira su una filiera a pagamento di VPN, cryptor e hosting.
- â›” Affidarsi all’antivirus a firma, quando i cryptor sono venduti proprio per sconfiggerlo.
- â›” Fidarsi della geolocalizzazione o dell’IP di origine, quando le VPN a prova di proiettile esistono per nascondere l’origine reale.
- â›” Dare per scontato che pagare il riscatto sia una transazione pulita, quando il destinatario può essere un soggetto sanzionato.
- â›” Ignorare la fase di furto dei dati, dato che gli stessi servizi spostano fuori dalla rete anche i dati esfiltrati.
Pagare un attore ransomware sanzionato può essere di per sé una violazione
Le designazioni congelano i beni statunitensi e vietano alle persone statunitensi le transazioni con le parti nominate. Se un gruppo ransomware si appoggia a infrastrutture sanzionate, pagare il riscatto può esporre la vittima a una responsabilità legale secondaria. Tratta ogni decisione di pagamento come una questione legale, non solo tecnica, e coinvolgi consulenti legali e forze dell’ordine prima di agire.
Cosa fare questa settimana
Niente di quanto segue richiede una nuova voce di budget. Chiudono i percorsi specifici che questo ecosistema vende, dall’evasione all’esfiltrazione anonimizzata. Per la checklist completa, vedi la guida su come prevenire un attacco ransomware.
- ✅ Spostare il rilevamento dalle firme al comportamento: abilitare l’EDR con protezione anti-manomissione così un payload offuscato viene intercettato all’esecuzione.
- ✅ Considerare inaffidabili IP di origine e geolocalizzazione, e generare avvisi sul traffico da e verso infrastrutture VPN di anonimizzazione.
- ✅ Mantenere almeno una copia di backup immutabile o offline, fuori dalla portata delle credenziali di dominio.
- ✅ Inserire nel piano di risposta una decisione sul pagamento del riscatto che richieda prima la revisione legale e delle forze dell’ordine.
- ✅ Segnalare gli abusi di infrastruttura ai provider di hosting, perché è parte di come iniziano operazioni come questa.
- ✅ Provare la risposta partendo dal presupposto che l’esfiltrazione sia già avvenuta, non solo la cifratura.
Il contrasto si sposta sugli abilitatori
Le designazioni colpiscono la filiera dietro il ransomware, non solo gli operatori, e seguono l’operazione europea del maggio 2026. Ogni abilitatore rimosso aumenta il costo di gestire un’operazione ransomware. Se stai rispondendo a un incidente attivo, conserva la nota di riscatto e un campione cifrato prima di reinstallare: è il punto di partenza per recuperare i file crittografati.
Fonti
Juan Ricardo Palacio
Co-fondatore e CEO per le Americhe, HelpRansomware
Juan Ricardo Palacio è ingegnere elettronico, imprenditore e specialista in telecomunicazioni, cybersecurity e digital forensics, con oltre 25 anni di esperienza professionale. Co-fondatore di HelpRansomware, opera nei campi della cyber resilience, della risposta agli attacchi ransomware, del recupero dati, della crittografia e del reverse engineering, supportando aziende e organizzazioni nella gestione di incidenti informatici ad alta criticità.
📰 Menzionato e citato su Forbes Georgia, Business Insider Africa, LA Weekly e Il Sole 24 Ore.
📅 Ultimo aggiornamento: 20 luglio 2026
