Europol zlikvidoval finanční zázemí ransomwaru: kryptopračka AudiA6 zpracovala 336 milionů eur

Proč vás to zajímá

Ransomware, tedy typ kyberútoku, při kterém útočník zašifruje data oběti a požaduje výkupné, potřebuje k fungování nejen technickou, ale i finanční infrastrukturu. Když firma zaplatí výkupné v kryptoměnách, peníze musí někdo “vyčistit” tak, aby nešly dohledat. Právě na tuto část řetězce zaútočil Europol 10. června 2026.

Zásah a zajištěné věci

Europol a Eurojust koordinovaly likvidaci platformy AudiA6, gruzínské specializované služby, která ransomwarovým skupinám zajišťovala outsourcovaný finanční backend. Od roku 2021 platforma zpracovala odhadem více než 336 milionů EUR ze škodlivé činnosti a obsluhovala klientelu čítající nejméně 15 různých ransomwarových operací. Fungovala tedy jako sdílená infrastruktura napříč celým kriminálním ekosystémem, nikoliv jako nástroj jediné skupiny.

V gruzínském Batumi byli zatčeni dva správci platformy: Tkachuk (Ukrajina, 37 let) a Ledenev (Rusko, 25 let). Při operaci bylo zajištěno 25 domén, více než 30 serverů, více než 80 vozidel a 692 000 EUR v kryptoměnách.

Operace zapojila 11 zemí, mimo jiné Spojené státy, Austrálii, Francii, Polsko, Německo a Japonsko. Synchronizace zatýkání a zajišťování aktiv ve více jurisdikcích najednou byla možná právě díky koordinaci přes Europol a Eurojust.

Co to znamená v praxi

Platforma existovala od roku 2021, tedy více než čtyři roky. Délka existence naznačuje, že detekce a likvidace specializovaných kryptoměnových praček pro ransomware vyžaduje rozsáhlou mezinárodní finanční zpravodajskou práci, která probíhá dlouhodobě před samotným zásahem.

Pro Českou republiku je relevantní, že výnosy z ransomwarových útoků na české subjekty mohly být přes tuto platformu legalizovány. Europol v rámci operace nezveřejnil seznam dotčených obětí, ale rozsah 15 operací od roku 2021 pravděpodobně zahrnuje i útoky v regionu střední a východní Evropy.

Klíčovým vyšetřovacím nástrojem se ukázala blockchain intelligence, tedy on-chain analýza kryptoměnových toků. Zajištění domén a serverů bylo podpořeno finanční stopou v blockchainu.

Co z toho plyne

• Organizace, které v minulých letech platily výkupné ransomwarovým skupinám napojeným na AudiA6, by měly zvážit kontakt s příslušnými orgány činnými v trestním řízení, protože Europol shromáždil rozsáhlou evidenci o transakcích.

• Likvidace sdílené finanční infrastruktury nevylučuje přetrvávání technické kapacity zapojených ransomwarových skupin. Přesun na jinou praní-peněz službu je očekávatelný.

• Bezpečnostní týmy by měly prověřit, zda jejich organizace nemá v systémech přítomnost indikátorů kompromitace (IoC, tedy technických stop útočníka) spojených s ransomwarovými skupinami klientů AudiA6. Europol plánuje zveřejnění těchto indikátorů.

• Operace potvrzuje trend: mezinárodní orgány stále více cílí na finanční infrastrukturu kyberkriminality jako na rovnocenný cíl vedle samotné útočné infrastruktury.

Zdroje:

• The Hacker News
• Help Net Security