Hacker ucraino condannato a quasi 13 anni per attacchi ransomware in Svizzera

Un tribunale zurighese ha condannato uno specialista informatico ucraino a 12 anni e nove mesi di carcere, pronunciando una delle sentenze più importanti in Svizzera per un caso di ransomware. Il tribunale ha inoltre ordinato un divieto d’entrata in Svizzera della durata di 10 anni. La sentenza è stata pronunciata giovedì 10 settembre e riferita da Keystone-ATS l’11 settembre 2026.

L’imputato, 52 anni, residente nel Cantone di Basilea Campagna, è stato riconosciuto colpevole per il suo ruolo in attacchi contro aziende svizzere e internazionali. La procura ha stimato i danni complessivi a circa 100 milioni di franchi, pari a circa 123 milioni di dollari. La campagna ha preso di mira aziende tra cui il costruttore ferroviario Stadler Rail, l’impresa di tecnologie per il riscaldamento e gli edifici Meier Tobler e il fornitore di software Crealogix.

Il tribunale ha accertato che l’imputato ha sviluppato il ransomware usato per bloccare i dati aziendali e ha contribuito a rendere possibile l’operazione di estorsione. La procura aveva chiesto una pena di 12 anni. I giudici hanno inflitto una pena più lunga dopo aver valutato il contributo dell’imputato agli attacchi.

L’uomo è in detenzione preventiva dall’ottobre 2021. La sentenza attribuisce la responsabilità a uno specialista tecnico che, secondo il tribunale, ha fornito gli strumenti e le competenze che hanno reso possibili attacchi ben più ampi di quelli contro una singola vittima.

Durante uno degli attacchi sono stati sottratti circa 500 gigabyte di dati di Stadler Rail, secondo gli atti del procedimento. Gli hacker hanno minacciato di pubblicare il materiale riservato e hanno chiesto un riscatto. Stadler Rail ha rifiutato di pagare.

L’attacco ha posto una grande azienda industriale svizzera al centro di un modello criminale che combina il furto di dati con la loro cifratura. Gli operatori del ransomware dapprima bloccano i sistemi interni, poi usano i file rubati per aumentare la pressione sui dirigenti, sui clienti e sui fornitori. La procura ha collegato la campagna più ampia a perdite stimate in 100 milioni di franchi, anche se alcune delle aziende prese di mira hanno pagato.

Stadler Rail, con sede a Bussnang, nel Canton Turgovia, produce treni per mercati di tutto il mondo. Una violazione ai danni di un’azienda con sistemi complessi di produzione, progettazione e catena di approvvigionamento può avere conseguenze che vanno oltre i computer degli uffici. Progetti riservati, documenti commerciali e informazioni scambiate con i partner possono diventare strumenti di pressione in una campagna di estorsione.

L’incidente del 2020 ha inoltre mostrato quanto rapidamente una violazione ai danni di un’azienda svizzera possa trasformarsi in una notizia internazionale. In un precedente articolo, Swissinfo ha riferito che gli aggressori chiedevano 6 milioni di dollari in bitcoin per restituire i documenti di Stadler. La condanna odierna porta il caso a una conclusione in tribunale, mentre i dati sottratti e la rete criminale più ampia restano al centro dell’attenzione.

Il tribunale ha individuato tre famiglie di ransomware al centro del caso: Lockergoga, Megacortex e Nefilim. I giudici hanno descritto l’imputato come il loro sviluppatore principale. Questi programmi cifravano i dati delle aziende prese di mira e costituivano la base tecnica dei tentativi di estorsione.

La sentenza ha distinto lo sviluppo del software dalle persone che sceglievano le vittime, coordinavano gli attacchi e formulavano le richieste. Il giudice ha affermato che l’imputato non era la mente dell’operazione. Ha sviluppato il malware e lo ha trasmesso agli istigatori, che restano sconosciuti. Questa distinzione ha orientato la ricostruzione dell’operazione da parte del tribunale, ma non ha escluso la responsabilità penale dell’imputato.

L’imputato ha negato di sapere che il suo software sarebbe stato usato per commettere reati. Ha dichiarato di aver lavorato come consulente per un cliente sconosciuto nel settore della sicurezza informatica, spiegando che il codice sorgente era stato trovato a casa sua. La procura ha contrapposto a questa versione le prove secondo cui anche i messaggi di estorsione erano conservati tra i suoi dati. Il tribunale ha respinto la sua spiegazione.

Il caso illustra le difficoltà che gli inquirenti incontrano quando la criminalità informatica è suddivisa tra programmatori, intermediari, operatori e negoziatori. Uno sviluppatore può non accedere mai alla rete di una vittima, ma gli strumenti che crea possono determinare la portata e la rapidità di un attacco.

Il caso ha inoltre fatto emergere un presunto legame con i servizi segreti russi e con un presunto istigatore morto a Mosca. Durante il processo di agosto, la procura ha affermato che il presunto contatto dell’imputato aveva collaborato con i servizi segreti russi prima di cadere da una finestra a Mosca nel novembre 2022.

Secondo quanto riferito, l’uomo era un hacker ucraino che usava una falsa identità fornita dai servizi segreti russi. Stando alla ricostruzione della procura, gli Stati Uniti avevano offerto una ricompensa per informazioni su di lui. Queste affermazioni hanno contribuito al quadro più ampio, emerso durante il processo, di interessi criminali e statali che si sovrappongono, benché la sentenza zurighese si sia concentrata sulla condotta dell’imputato.

La procura ha collegato gli attacchi ransomware a una strategia russa volta a creare disordine e danni economici nei Paesi occidentali. I gruppi criminali possono operare in un contesto in cui gli attori statali tollerano o sfruttano le loro attività. Attribuire la responsabilità resta difficile, perché gli aggressori nascondono la propria identità, si servono di intermediari e spostano le infrastrutture da una giurisdizione all’altra.

Il presunto istigatore è morto e gli altri organizzatori non sono stati identificati. Gli inquirenti e i procuratori svizzeri hanno così ottenuto la condanna di un partecipante, mentre le persone che avrebbero diretto gli attacchi restano fuori dall’aula del tribunale.

Secondo una valutazione distinta del 2025, la Svizzera ha subito circa 200 attacchi ransomware attribuiti al gruppo Akira, a dimostrazione del fatto che la condanna pronunciata a Zurigo riguarda una sola campagna nell’ambito di una minaccia che persiste. Le autorità svizzere hanno dichiarato che Akira aveva intensificato le proprie attività e preso di mira aziende in tutto il Paese.

Gli attacchi non colpiscono soltanto le grandi imprese industriali. Il ransomware può interrompere l’attività di ospedali, aziende manifatturiere, Comuni, commercianti e fornitori più piccoli, i cui sistemi sono collegati a reti aziendali più ampie. Il caso Stadler dimostra il rischio supplementare che si crea quando gli aggressori copiano i file sensibili prima di cifrare i sistemi. Rifiutare di pagare può evitare di finanziare i criminali, ma non garantisce che le informazioni rubate restino riservate.

La sentenza zurighese sottolinea inoltre l’importanza di conservare le prove digitali. Il codice sorgente, i messaggi di estorsione e i dati archiviati sui dispositivi personali hanno aiutato la procura a contestare la versione dell’imputato. La cooperazione internazionale resta essenziale, perché gli aggressori, i server, le vittime e le transazioni in criptovalute possono coinvolgere diversi sistemi giuridici.

La pena non permetterà di identificare gli organizzatori sconosciuti né di recuperare tutte le perdite legate alla campagna. Stabilisce però che i tribunali svizzeri possono infliggere pene pesanti quando uno specialista tecnico rende consapevolmente possibili attacchi ransomware, anche se non è lui a prendere la decisione finale.