De Roemeense politie heeft in samenwerking met de FBI en Europol een 41-jarige man aangehouden op verdenking van ransomware-aanvallen tegen allerlei "high-profile" organisaties. Volgens Europol zou de man onder andere het netwerk van een groot Roemeens it-bedrijf hebben gecompromitteerd, dat diensten aan retail- en energiesectoren in allerlei landen levert.

Via de toegang wist de verdachte de systemen van klanten van het it-bedrijf met ransomware te infecteren. Voordat bestanden werden versleuteld, werden die eerst gestolen. Het ging om financiële informatie van bedrijven, alsmede persoonlijke informatie over medewerkers, klantgegevens en andere belangrijke documenten, aldus Europol. Vervolgens eiste de verdachte losgeld, anders dreigde hij de gestolen data openbaar te maken.

Europol ondersteunde de Roemeense autoriteiten met cryptovaluta-onderzoek, malware-analyse en forensische support. Tevens werden twee experts naar Roemenië gestuurd voor verder forensisch onderzoek en het in beslag nemen van cryptovaluta.

De verdachte wordt door Europol omschreven als een "ransomware affiliate". Het gaat hierbij niet om de ransomware-ontwikkelaars. Veel ransomware-ontwikkelaars hanteren een ransomware-as-a-service (RaaS)-model. Via RaaS kunnen criminelen op eenvoudige wijze over ransomware beschikken, waarbij er een deel van de inkomsten naar de ontwikkelaar van de ransomware gaat. Criminelen moeten in dit geval de ransomware nog wel zelf verspreiden.