Oekraïense man krijgt in VS 13 jaar cel voor ransomwarehacks via Kaseya

Een Oekraïense man is in de Verenigde Staten veroordeeld tot 13 jaar gevangenisstraf voor een serie ransomwareaanvallen die via serviceprovider Kaseya werden verspreid. Via dat supplychainbedrijf werden 2500 infecties met REvil uitgevoerd.

Een Amerikaanse rechter heeft de man uit Oekraïne, Yaroslav Vasinskyi, veroordeeld tot een gevangenisstraf van dertien jaar en zeven maanden. Ook moet de dader zestien miljoen dollar terugbetalen aan slachtoffers. De 24-jarige Vasinskyi werd eerder uitgeleverd door Polen waar hij werd gearresteerd. Hij pleitte al schuldig te zijn aan het verspreiden van ransomware en het plegen van fraude.

De Oekraïener was een spil in een geruchtmakende ransomwarezaak in 2021. Toen werd Kaseya het slachtoffer van een cyberaanval. Tweakers schreef daar destijds een achtergrondartikel over. Kaseya is een managed service provider die software maakt waarmee kleine bedrijven hun ict kunnen beheren. In 2021 sloegen hackers toe bij het bedrijf. Dat gebeurde niet om Kaseya zelf af te persen met ransomware, maar om ransomware te verspreiden via remoteaccesstool Kaseya Virtual Systems Administrator.

De zaak was in 2021 actueel, omdat kort daarvoor ook een ander supplychainbedrijf werd gehackt. Die hack op SolarWinds kwam toen in de belangstelling te staan omdat het een van de eerste keren was dat er op grote schaal een tussenprovider werd gehackt, wat volgens experts een omslag leek in hoe ransomware zou worden verspreid.

Kaseya VSA werd misbruikt om zeker 2500 bedrijven met de REvil-ransomware te infecteren. Een onbekend deel van die bedrijven was Amerikaans, waardoor de FBI de zaak oppakte. Het is niet bekend hoeveel bedrijven de dader daadwerkelijk afperste, maar hij moet in ieder geval 16 miljoen dollar terugbetalen aan bedrijven, terwijl hij in totaal 700 miljoen dollar aan losgeld had geëist. Het Amerikaanse ministerie van Justitie zegt dat het verder ook 6,1 miljoen dollar in beslag heeft genomen van andere verdachten die deelnamen aan de hack, samen met 39,9 bitcoins.

Reacties (32)

[wildhagen]

Gezien de enorme impact (en schade) die deze aanvallen en zijn fraude hebben aangericht denk ik dat hij heel, heel erg blij mag zijn dat er zo licht af komt, met maar 13 jaar cel en 16 miljoen dollar boete had dit ook heel wat hoger uit kunnen pakken.

Immers, zoals in het achtergrondartikel van Tweakers al staat:

Als we zouden aannemen dat de miljoen systemen die REvil zelf noemt waar is, dan zou de Kaseya-hack een van de grootste in de geschiedenis zijn. Alleen NotPetya en WannaCry, de destructieransomware die hoogstwaarschijnlijk van Noord-Korea afkomstig is, hadden mogelijk een groter bereik. Het totale bedrag van 70 miljoen dollar aan losgeld is ook hoog, al is het bedrag niet ongekend. Zo claimden de makers van GandCrab 150 miljoen dollar per jaar te verdienen als affiliates, al zijn zulke bedragen onmogelijk te verifiëren.

Typisch dat hij zo een, zeker voor de VS, relatief lichte straf krijgt. Is daar een specifieke reden voor?

[Lucb1e]

Zo licht? Meer dan een decennium de gevangenis in voor financiële schade? Ik was juist verrast hoe hoog het was en heb het artikel gelezen zoekend naar waar de verzwarende omstandigheid zit (ik vermoed dat het gelegen heeft aan dat er zoveel individuele bedrijven en dus personen in de problemen gebracht zijn, maar zou natuurlijk het vonnis moeten lezen om de afweging van de rechter terug te vinden).

Bedenk ook dat hogere straffen niet of nauwelijks helpen maar pakkans vergroten wel¹. Dat deze persoon nu opgepakt en veroordeeld is, is het belangrijkste. Ransomware wordt vaak gezien als vrijwel pakkansloos.

De straf moet daarnaast ook passend zijn, ook voor genoegdoening voor de slachtoffers, maar jaren van je leven kwijt zijn en miljoenen terugbetalen vind ik lastig om te argumenteren als te laag zonder me verder in de zaak in te lezen.

Al was het een paar maanden zitten: als je weet dat de kans redelijk is dat je zoiets te wachten staat, is de randomwarebusiness minder aantrekkelijk dan wanneer er geen consequenties zijn. Ik weet niet hoeveel tijd het mensen waard zou zijn, maar voor mij zou die grens waarschijnlijk ergens bij een paar maanden cel liggen als ik dan de rest van m'n leven van de winst kon leven. Gezien de winst ook wordt afgepakt voor zover mogelijk en van de winst leven dus heel onzeker is, zou het me heel weinig celstraf waard zijn als er een redelijke pakkans is. Het zou me verrassen als de strafmaat dus veel uitmaakt zolang het niet vrijwel niks is. (Nu heb ik een goede baan / goed leven dus het is voor mij sowieso geen afweging, maar kan me voorstellen dat illegaal miljoenen verdienen wel allure heeft voor sommigen en ze die afweging wel maken (al dan niet onbewust).)

¹ Bronnen hiervoor:

“What research is increasingly showing is that imprisonment itself and punishment more generally is actually criminogenic – it makes it more likely that people are going to re-offend,” he says.
--https://newsroom.unsw.edu.au/news/business-law/do-harsher-punishments-deter-crime

Als we naar extremen kijken, dan lijkt straf zeker afschrikkend te werken. Als de strafkans 100 procent is, zoals bij trajectcontroles in het verkeer, dan houdt vrijwel iedereen zich aan de snelheidslimitering. En als de kans op straf extreem laag is, zoals bij bijvoorbeeld buitengewoon grote wanordelijkheden en rellen, dan bloeit de delinquentie op (geweldpleging en diefstal uit winkels). Meestal zitten we hier tussenin. [...] mensen die vaker delicten plegen en informele bestraffing [=sociale druk] niet hoeven te vrezen houden rekening met de mogelijkheid betrapt en bestraft te worden. [...] Voorts speelt bij het menselijk beslissen het ‘discounting the future’ mee: gevolgen van het gedrag worden minder meegewogen als die verder weg liggen in de toekomst.
--https://ccv-secondant.nl/platform/article/over-de-afschrikkende-werking-van-straffen

Uit sociaalwetenschappelijk onderzoek blijkt niet dat zwaarder straffen tot minder criminaliteit leidt. [...] De kans dat je straf krijgt heeft een groter effect.
--https://www.uva.nl/shared-content/faculteiten/nl/faculteit-der-rechtsgeleerdheid/nieuws/2021/09/waarom-pleiten-juristen-en-politici-voor-zwaardere-straffen.html

[Reactie gewijzigd door Lucb1e op 23 juli 2024 17:48]

[Perkele]

Die 16 miljoen dollar is geen boete, maar een terugbetaling aan de slachtoffers.

[Mike2k]

Wat ik eigenlijk vreemd vindt is dat, net zoals bij solarwinds, het gehackte bedrijf geen straf krijgt. Uiteraard verdient deze man straf maar hij is niet de enige...

Bedrijven zoals kaseya en solarwinds kopen kleinere partijen op, rebranden de software met hun eigen logo en douwen het de markt op.

Ik chargeer maar je ziet maar al te vaak ernstig verouderde software, die dan ook nog eens in support zit, en vervolgens is het alleen de hacker die straf krijgt...

[Anoniem: 454358]

En jij wordt wel de gevangenis ingegooid als er bij je word ingebroken omdat je sloten niet het beste van het beste zijn?

[DrPoncho]

Het voorbeeld zou pas treffend zijn als hij voor anderen waardevolle spullen in zn huis opsloeg voor geld met de belofte dat ze veilig zouden zijn.

[Patriot]

Ook dan krijg je geen straf. De personen wiens spullen je bewaarde kunnen een civiele procedure starten, maar het heeft gewoon niets met strafrecht te maken

[DrPoncho]

Ik heb het niet over wel/geen straf krijgen, ik refereerde alleen naar dat z'n voorbeeld nogal ontoereikend was.

[Patriot]

Wat ik zei was ook een aanvulling op wat je zei, geen weerlegging ervan. Uit het feit dat de analogie eerst ontoereikend was zou je kunnen afleiden dat een straf na jouw aanvulling wel op zijn plaats was geweest, nu is duidelijk dat dat niet zo is.

[DrPoncho]

Helder

[wildhagen]

Wat ik eigenlijk vreemd vindt is dat, net zoals bij solarwinds, het gehackte bedrijf geen straf krijgt.

Daar is niks vreemds aan. Dit is een strafrecht-zaak specifiek tegen deze dader. Daar kan je niet opeens de slachtoffers ook gaan straffen.

Daarnaast hebben die bedrijven zover bekend niets strafbaars gedaan. Dus waar wil je ze voor vervolgen?

Wellicht kan je eventueel een civiele zaak tegen ze starten als klant ofzo, maar een strafrecht-zaak zou ik even geen grond voor zien.

Bedrijven zoals kaseya en solarwinds kopen kleinere partijen op, rebranden de software met hun eigen logo en douwen het de markt op.

Ja, en beiden zijn geen strafbare acties. Of wil je bedrijfsovernames strafbaar stellen ofzo? Dat lijkt me niet heel erg wenselijk, om het zacht uit te drukken.

[Reactie gewijzigd door wildhagen op 23 juli 2024 17:48]

[TwiekertBOB]

Ik denk dat dat bedrijf al gestraft is voor de eigen onzorgvuldigheid.

Ze zijn geld kwijt, hebben imagoschade opgelopen en er zullen ook wat klanten weg zijn. Daarnaast zal de verzekeraar niet uitkeren en zullen nieuwe verzekeraars dit bedrijf de hoofdprijs laten betalen.

<Edit: Typo>

[Reactie gewijzigd door TwiekertBOB op 23 juli 2024 17:48]

[CAPSLOCK2000]

Wat ik eigenlijk vreemd vindt is dat, net zoals bij solarwinds, het gehackte bedrijf geen straf krijgt. Uiteraard verdient deze man straf maar hij is niet de enige...

Bedrijven zoals kaseya en solarwinds kopen kleinere partijen op, rebranden de software met hun eigen logo en douwen het de markt op.

Ik chargeer maar je ziet maar al te vaak ernstig verouderde software, die dan ook nog eens in support zit, en vervolgens is het alleen de hacker die straf krijgt...

Laten we niet beginnen aan straffen voor slachtoffers. Dat geeft allerlei negatieve gevolgen zoals dat slachtoffers niet om hulp durven te vragen omdat ze bang zijn voor een boete en ze dus ook niet melden dat er iets aan de hand is.
Dit is echt een gevalletje "voorkomen is beter dan genezen". Ik zie overal hoe er nonchalant wordt omgegaan met onderhoud en security. We moeten bedrijven vooraf gaan controleren en onder druk zetten om te zorgen dat hun software veilig en modern is en hun data versleuteld is. Dat begint langzaam een beetje te komen. Overheden, verzekeraars, accountants en dat soort organisaties beginnen eisen te stellen en willen die ook controleren. Het staat echter nog in de kinderschoenen en de meeste van die onderzoekjes zijn nogal abstract en afstandelijk, vooral gericht op procedures en verantwoordelijkheden en minder op concrete veiligheid.

[Lucb1e]

De reden die ik hiervoor hoor is dat bedrijven dan een motivatie hebben om het te verstoppen in plaats van iedereen netjes in te ilchten en aangifte te doen bij de politie

Het is sowieso al imagoschade en vertrouwensbreuk om open kaart te spelen, terwijl jouw IT op dat moment overhoop ligt en je sowieso al hoge kosten aan het maken bent om weer op de rails te komen, en dan is er nog het losgeld zelf als eventuele kostenpost. Ik snap wel dat ze niet direct het slachtoffer ook vervolgen. Als het bedrijf nalatig was met persoonsgegevens kan de AP ook alsnog een boete daarvoor opleggen

[GuyNijssen]

Een vrij volledig en interessant verslag van de hack is te vinden op:
https://www.divd.nl/repor...%20behind%20the%20scenes/

[Frame164]

Ik vind het altijd wel bijzonder dat een rechter dan tot zo'n hele specifieke straf komt. Zoals in dit geval van 13 jaar en 7 maanden. Waarom niet 13, 14 of 13,5.

[CAPSLOCK2000]

Rechters gebruiken vaak hulpmiddelen om uit te rekenen hoe lang een straf moet zijn, net zoals de boetes voor te hard rijden afhankelijk zijn van je snelheid.

[MSalters]

Dat soort uitkomsten komen door formules in plaats van onderbuikgevoel. Welke strafelementen zijn bewezen, hoe vaak is iemand al eerder veroordeeld, je kunt prima een dozijn aan parameters hebben.

[Marcbr]

O f 3 keer levenslang Dat vind ik altijd maar rare gekkigheid maar als ik verder daarover nadenk zal het waarschijnlijk een soort van betekenis hebben van hoe slecht je wel niet bent.

[Lucb1e]

Bij enkele (niet tientallen of meer) keren levenslang denk ik dat het ook gaat om vervroegd vrijkomen: zelfs al krijg je korting voor goed gedrag, moet je al meer dan 50% korting krijgen om met tweemaal levenslang ooit nog vrij te komen. In de gevallen waar vele malen wordt opgelegd, lijkt het me inderdaad een stellingname over hoe erg het wel niet was

Edit: (fun fact) overigens is uitzichtsloze vrijheidsberoving illegaal op ons continent onder het mensenrechtenverdrag. Nederland heeft dit moeten aanpassen vanwege het EVRM. We waren het laatste land in de EU dat dit nog toepaste (nadat het in 1870 een vervanging was van de doodstraf) en sinds de aanpassing wordt levenslang vaker opgelegd door rechters. Het heet nog altijd levenslang, waarschijnlijk omdat dat de standaardsituatie is en het vervroegde vrijkomen (indien verantwoord) slechts een potentiële mogelijkheid. Bron: Wikipedia: Levenslange gevangenisstraf

[Reactie gewijzigd door Lucb1e op 23 juli 2024 17:48]

[Zackito]

Kaseya is toch geen MSP? Ze leveren eerder software aan MSPers on hun klanten te bedienen. Ze bieden toch geen managed services of dergelijke aan?

Edit: op de website van Kaseya geven ze dit ook aan.

[Reactie gewijzigd door Zackito op 23 juli 2024 17:48]

[patrickvdweide]

Je hebt gelijk. De it-dienstverlener is de MSP.

[FastFred]

Precies dit, het is een tool voor MSP's om servers bij klanten te beheren.

Onze MSP gebruikt het ook voor remote beheer op onze servers. En patch distributie (met patch ringen etc.)

[Reactie gewijzigd door FastFred op 23 juli 2024 17:48]

[PhaeTom]

Dus eerder een Managed Software Provider?

[KKose]

En terwijl dat Vs zijn land helpt..

[eternia16]

Hoeft die in ieder geval niet de dienstplicht in en de meat grinder in.

[Lucb1e]

Zie de datum: de criminaliteit vond plaats voordat de 2022-invasie begon. (Achtergrondartikel van Tweakers hierover stamt uit juli 2021 en de invasie begon zes maanden later.)

En daarnaast, hoeveel mensen stelen van (frauderen) de overheid waarvan ze ook een hoop diensten krijgen? Zelfs al was het feit in 2023 gepleegd waar de hulp van de VS duidelijk was, zou het naar mijn idee geen ongebruikelijke situatie zijn

[Reactie gewijzigd door Lucb1e op 23 juli 2024 17:48]

[markwiering]

Daar komt nog bij dat de Oekraïne verdeeld is. In het oosten en zuiden van de Oekraïne is de bevolking overwegend pro-Russisch. De Oekraïense nationaliteit zegt dus niks over in hoeverre jij achter jouw land staat. Voor hetzelfde geld staat deze meneer juist pal achter Rusland.

[KKose]

Eu en Vs steunden Ukr al voor de oorlog .

[Jay47]

Mannelijk is Oekraïner.
Vrouwelijk is Oekraïense.

Just saying

[NerdChick]

Waarom is het zo relevant dat hij uit Oekraïne komt dat dit zelfs in de titel staat?