Una sentencia por ransomware dictada en Brooklyn el martes 27 de octubre de 2026 ha puesto cifra a una de las carreras de ciberdelincuencia más dañinas de los últimos años: Artem Aleksandrovych Stryzhak, un ciudadano ucraniano de 36 años, pasará 70 meses —casi seis años— en una prisión federal por su participación en conspiraciones de ransomware que golpearon a hospitales, oficinas gubernamentales, bufetes de abogados y empresas en Estados Unidos y en el extranjero, causando más de 100 millones de dólares en pérdidas. El caso, juzgado en el Distrito Este de Nueva York, es una rara radiografía pública de cómo funcionaba realmente el ransomware como servicio, con afiliados que alquilaban el programa malicioso, elegían a las víctimas y entregaban una parte de cada rescate a los operadores de la marca.

Puntos Clave

• Artem Stryzhak, de 36 años, fue condenado el 27 de octubre de 2026 en Brooklyn a 70 meses de prisión federal por conspiraciones de ransomware vinculadas a los grupos Nefilim y Hive.
• Según los fiscales, sus ataques, entre mediados de 2018 y finales de 2021, golpearon a hospitales, entidades gubernamentales, bufetes de abogados, una clínica dental, un proveedor de salud y una empresa de transporte de petróleo y gas.
• Las campañas de Nefilim y Hive causaron en conjunto más de 100 millones de dólares en pérdidas; solo Hive atacó a unas 1.500 víctimas en todo el mundo y se vinculó a unos 100 millones de dólares en pagos de rescate.
• Stryzhak se declaró culpable en diciembre de 2025 de dos cargos de conspiración para cometer fraude, extorsión y actividades relacionadas con ordenadores, tras ser detenido en España en junio de 2024 y extraditado a Estados Unidos en abril de 2025.
• Su presunto cómplice en Nefilim, Volodymyr Viktorovych Tymoshchuk, sigue en busca y captura, y el Departamento de Estado de EE. UU. ofrece hasta 11 millones de dólares por información que conduzca a su detención, condena o localización.

Qué Pasó

La condena se dictó en un tribunal federal de Brooklyn, Nueva York, donde Stryzhak se había declarado culpable en diciembre de 2025. Los dos cargos de conspiración abarcaban fraude, extorsión y actividades informáticas relacionadas, y la pena de 70 meses refleja una campaña que los fiscales rastrearon durante varios años y varias marcas de ransomware, y no una sola intrusión. Stryzhak, que vivía en Barcelona, España, fue detenido allí en junio de 2024 y extraditado a Estados Unidos en abril de 2025, una secuencia que ilustra por sí sola lo que tardan en llegar a un tribunal los casos internacionales de ciberdelincuencia: los últimos ataques que se le atribuyen datan de 2021, y la acusación sustitutoria en su caso se presentó en mayo de 2024.

El Departamento de Justicia dijo el martes que Stryzhak participó en una serie de ataques contra operadores de infraestructuras críticas y empresas desde mediados de 2018 hasta finales de 2021. Entre las víctimas citadas en la cobertura del caso había hospitales donde los ataques interrumpieron la atención a los pacientes, entidades gubernamentales, bufetes de abogados, proveedores de salud, una clínica dental y una empresa del sector del transporte de petróleo y gas. En los casos hospitalarios, el coste humano fue el aspecto que más subrayaron los fiscales: cuando los sistemas médicos quedan cifrados, el personal pierde el acceso a historiales, agendas y comunicaciones, y la propia atención se retrasa o se desvía. La cobertura de la campaña más amplia de Hive describió un ataque hospitalario en el que el personal médico se vio obligado a trabajar sin sus sistemas digitales habituales y el centro quedó temporalmente sin poder aceptar nuevos pacientes.

Como afiliado de Hive, Stryzhak y sus cómplices desplegaron ransomware contra siete víctimas, entre ellas bufetes de abogados, una clínica dental y un proveedor de salud, durante la pandemia de COVID-19, cuando hospitales y clínicas ya soportaban una presión extraordinaria. Más tarde, el FBI entregó una clave de descifrado a una de sus víctimas, lo que permitió a esa organización recuperar sus datos sin pagar a los atacantes, un recordatorio de que no todas las víctimas de estos casos pagan y de que la disrupción policial a veces llega a tiempo para marcar la diferencia.

Antecedentes y Contexto

El ransomware ya no es, en la mayoría de los casos, obra de un pirata solitario que escribe código en su habitación. El modelo dominante de la última década ha sido el ransomware como servicio: un grupo central de desarrolladores crea y mantiene el programa malicioso, gestiona la infraestructura de pagos y filtraciones, y recluta afiliados que son quienes irrumpen en las redes. Los afiliados obtienen acceso inicial a la red de la víctima, roban datos sensibles, despliegan el ransomware para cifrar archivos y exigen el pago dos veces: una por la clave de descifrado y otra a cambio de no publicar los datos robados. Esa segunda amenaza, conocida como doble extorsión, es lo que hizo tan temidos a grupos como Nefilim y Hive: incluso una víctima con buenas copias de seguridad se enfrentaba a la perspectiva de ver sus datos privados publicados en internet.

Nefilim emergió como una de las operaciones de doble extorsión más destacadas de 2020 y 2021. Sus afiliados personalizaban el ejecutable del ransomware para cada víctima, creando claves de descifrado y notas de rescate únicas, y elegían sus objetivos deliberadamente, investigando a las empresas tras acceder a sus redes para establecer sus ingresos y datos de contacto. La acusación federal describió el uso de Nefilim contra redes informáticas en Estados Unidos, Noruega, Francia, Suiza, Alemania y Países Bajos, y la cobertura del caso señaló que sus afiliados se centraban en grandes empresas, incluidas firmas de Estados Unidos, Canadá y Australia con ingresos anuales superiores a 100 millones de dólares. Los ataques con Nefilim causaron millones de dólares en pérdidas por pagos de extorsión y daños a las redes de las víctimas, según las autoridades.

Hive fue aún mayor. Un aviso conjunto de ciberseguridad del FBI, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras y el Departamento de Salud y Servicios Humanos, publicado en noviembre de 2022, describió a Hive como una operación de ransomware como servicio que atacaba intensamente infraestructuras críticas, incluido el sector de Salud y Salud Pública. Entre junio de 2021 y enero de 2023, los actores de Hive atacaron a aproximadamente 1.500 víctimas en todo el mundo, y en noviembre de 2022 las autoridades federales ya habían identificado más de 1.300 organizaciones víctimas y aproximadamente 100 millones de dólares en pagos de rescate asociados al grupo. Los investigadores federales acabaron desmantelando la infraestructura de Hive y obtuvieron capacidades de descifrado que permitieron a las víctimas recuperar sus sistemas cifrados sin pagar los rescates, uno de los golpes más importantes de aquel periodo.

Sentencia por ransomware: cómo funcionaba el modelo de afiliado

El caso de Stryzhak es instructivo precisamente porque no se le acusó de escribir el ransomware. Era un afiliado, en efecto, un contratista al que se le daba acceso al programa malicioso y lo introducía en las redes de las víctimas. Alrededor de junio de 2021 se unió a la operación Nefilim en esa condición, aceptando entregar a sus administradores, incluido el presunto cómplice Volodymyr Viktorovych Tymoshchuk, el 20 por ciento de los rescates que obtuviera. A cambio recibía ransomware a medida y claves de descifrado, y permaneció vinculado a la conspiración de Nefilim al menos hasta octubre de 2021. Uno de los ataques que se le atribuyen, en junio de 2021, tuvo como objetivo una empresa de transporte de petróleo y gas: los datos fueron robados antes de preparar y enviar las comunicaciones de rescate a la víctima, siguiendo exactamente el manual de la doble extorsión.

También se convirtió en uno de los primeros afiliados de Hive, una posición que le dio acceso a un grupo de víctimas mucho mayor justo cuando ese grupo estaba creciendo. Las tácticas documentadas en la campaña de Hive parecen una lista de técnicas modernas de intrusión: credenciales de acceso remoto comprometidas, phishing, explotación de sistemas vulnerables expuestos a internet, desactivación de herramientas de seguridad, borrado de registros de eventos de Windows, eliminación de copias sombra que podrían haber ayudado a la recuperación, exfiltración de datos y cifrado de los sistemas de las víctimas. Ninguno de esos pasos exigía inventar un programa nuevo. Exigía paciencia, acceso y voluntad de seguir presionando cuando fallaban las defensas de la víctima, y por eso los fiscales tratan a los afiliados como figuras centrales y no como actores secundarios, y por eso una condena de 70 meses para un afiliado, y no para un desarrollador, envía un mensaje disuasorio al grupo mucho mayor de personas que alquilan ransomware en lugar de crearlo.

La propia investigación cruzó fronteras y agencias. El caso Nefilim fue investigado por la oficina del FBI en Springfield, el caso Hive por la oficina del FBI en Tampa, con la ayuda de la oficina del FBI en Nueva York, la Oficina de Asuntos Internacionales del Departamento de Justicia y las autoridades españolas para localizar, detener y extraditar a Stryzhak. El caso Nefilim fue llevado por el subdirector adjunto en funciones James S. Yoon y el exfiscal principal Brian Z. Mund, de la Sección de Delitos Informáticos y Propiedad Intelectual del Departamento de Justicia, junto con los fiscales Alexander F. Mindlin y Ellen H. Sise, del Distrito Este de Nueva York. El caso Hive fue llevado por las fiscales Alison M. Zitron y Christen M. Gallagher, junto con la fiscal Hannah Watson, del Distrito Medio de Florida.

Reacciones y Declaraciones

Joseph Nocella Jr., fiscal federal del Distrito Este de Nueva York, enmarcó la condena en términos del daño que el ransomware causa más allá del balance económico. "Los ataques de ransomware como los cometidos por el acusado causan estragos enormes: perjudican a empresas víctimas que pagan millones en remediación y rescates, impiden a hospitales y otras instalaciones críticas acceder a sus datos y ponen información sensible en manos de delincuentes", dijo Nocella en un comunicado tras la sentencia. El énfasis en los hospitales y las instalaciones críticas reflejaba la versión del Departamento de Justicia, según la cual los ataques a proveedores de salud interrumpieron la atención a los pacientes en un momento en que esas instituciones menos podían permitírselo.

Brett Leatherman, director de Operaciones de la Rama Cibernética del FBI, destacó el alcance internacional de la investigación. "La sentencia de hoy reconoce la gravedad de los delitos de Artem y pone de relieve las capacidades globales del FBI y sus amplias alianzas internacionales", dijo Leatherman. La versión del FBI también subrayó que Stryzhak era un ciberdelincuente activo que trabajaba con varios grupos de ransomware para atacar a empresas y hospitales en Estados Unidos, interrumpiendo la atención a los pacientes y causando más de 100 millones de dólares en pérdidas. En la cobertura de la sentencia no se recogió ninguna declaración de la defensa de Stryzhak, y el expediente judicial, y no ningún comentario público del acusado, es ahora la última palabra sobre su papel en las conspiraciones.

Por Qué Importa

Esta sentencia por ransomware importa por tres razones que van más allá de la pena de un solo hombre. En primer lugar, confirma que los tribunales estadounidenses perseguirán a los afiliados, y no solo a los desarrolladores y administradores que dirigen las marcas de ransomware. El grupo de afiliados es mucho mayor que el de desarrolladores, y son los afiliados quienes eligen hospitales, clínicas y oficinas de gobierno local como objetivos y quienes deciden con qué dureza presionar a una víctima que ya está en crisis. Una condena cercana a los seis años por ese papel eleva el coste personal de alquilar el programa de otro.

En segundo lugar, el caso mide la seriedad con la que Estados Unidos trata ahora los ataques a la sanidad. El ataque de Hive al sector de Salud y Salud Pública motivó un aviso conjunto del FBI, CISA y el Departamento de Salud y Servicios Humanos precisamente porque unos sistemas hospitalarios cifrados no son solo un problema informático: retrasan tratamientos, desvían ambulancias y obligan a los médicos a volver al papel en plena emergencia. Los fiscales lo argumentaron explícitamente, y la sentencia sigue la pauta de casos federales recientes en los que el daño a los pacientes y a los servicios críticos pesa mucho en la condena.

En tercer lugar, el caso muestra tanto el alcance como los límites de la persecución internacional. Stryzhak fue localizado en España, extraditado y condenado en Brooklyn, y una víctima recibió una clave de descifrado del FBI en lugar de pagar. Sin embargo, su presunto administrador sigue en libertad, con una recompensa de 11 millones de dólares pendiente, y el ecosistema de ransomware que produjo Nefilim y Hive ha seguido evolucionando, con nuevas marcas que sustituyen a las desmanteladas. La sentencia cierra un capítulo; no cierra el mercado que hizo posible ese capítulo.

Qué Sigue

Stryzhak cumplirá ahora su condena federal de 70 meses, y las cuestiones habituales sobre el abono del tiempo ya pasado en prisión desde su detención en 2024 y cualquier libertad supervisada posterior quedan en manos del tribunal y de las normas federales de condena. La atención en el caso más amplio se centra en Tymoshchuk, el presunto administrador de Nefilim, que sigue en busca y captura. El Programa de Recompensas por Delincuencia Organizada Transnacional del Departamento de Estado ofrece hasta 11 millones de dólares por información que conduzca a su detención, condena o localización, y la cobertura del caso también ha señalado una recompensa separada de hasta 15 millones de dólares que abarca a otros miembros de Hive, señal de cuántos hilos de la investigación de Hive siguen abiertos incluso después de que su infraestructura fuera desmantelada.

Para hospitales, gobiernos locales y empresas medianas, las lecciones prácticas no han cambiado, pero son urgentes: segmentar las redes para que una sola credencial comprometida no abra todas las puertas, mantener copias de seguridad fuera de línea que el ransomware no pueda alcanzar, parchear con prontitud los sistemas expuestos a internet y ensayar una respuesta a incidentes que asuma que la atención a los pacientes o los servicios públicos podrían tener que continuar sin sistemas digitales durante días. La ayuda del FBI con el descifrado en este caso fue la excepción, no la regla, y la mayoría de las víctimas de ataques de doble extorsión siguen enfrentándose a la misma disyuntiva sombría que las víctimas de Stryzhak: pagar, reconstruir o ver cómo se filtran los datos robados. También hay que estar atentos a nuevas condenas y extradiciones derivadas de las investigaciones de Nefilim y Hive, que implicaron a varias oficinas del FBI y a socios internacionales y que ya han producido más de una causa.

Preguntas Frecuentes

¿Quién es Artem Stryzhak? Artem Aleksandrovych Stryzhak es un ciudadano ucraniano de 36 años que vivía en Barcelona, España. Era afiliado de los grupos de ransomware Nefilim y Hive, es decir, ejecutaba ataques con su programa malicioso en lugar de desarrollarlo él mismo.

¿Qué condena recibió? El 27 de octubre de 2026, un tribunal federal de Brooklyn lo condenó a 70 meses —cinco años y diez meses— de prisión, después de que en diciembre de 2025 se declarara culpable de dos cargos de conspiración para cometer fraude, extorsión y actividades relacionadas con ordenadores.

¿Cuánto daño causaron los ataques? Los fiscales y el FBI cifran en más de 100 millones de dólares las pérdidas totales de las campañas de Nefilim y Hive. Solo Hive atacó a unas 1.500 víctimas en todo el mundo, con unos 100 millones de dólares en pagos de rescate identificados en noviembre de 2022, mientras que los ataques de Nefilim causaron millones de dólares en pagos de extorsión y daños a redes.

¿Alguna víctima evitó pagar? Sí, al menos en un caso. El FBI entregó una clave de descifrado a una de las víctimas de Stryzhak, lo que le permitió recuperar sus datos sin pagar. Los investigadores federales también desmantelaron la infraestructura de Hive y obtuvieron capacidades de descifrado para otras víctimas.

¿Quién sigue en busca y captura en este caso? Volodymyr Viktorovych Tymoshchuk, presunto cómplice de Stryzhak en Nefilim y administrador de esa operación, sigue en libertad. El Departamento de Estado de EE. UU. ofrece una recompensa de hasta 11 millones de dólares por información que conduzca a su detención, condena o localización.

Cobertura relacionada en US News Pulse: Ciberataque a la FEC paraliza los informes de financiación antes de las elecciones, Ciberataque al auditor de Ohio: actores extranjeros señalados y web estatal caída, y Intento de hackeo a la FEC deja sin servicios en línea a la agencia electoral.