Un cittadino russo è stato estradato negli USA e incriminato per aver orchestrato una campagna di phishing che ha infettato 80.000 freelance con i malware TVRAT e DarkVNC, rubando dati sensibili e credenziali di accesso. L'operazione ha colpito soprattutto lavoratori statunitensi e ha sfruttato piattaforme di lavoro online.
Un'operazione di cybercrime che ha colpito il cuore dell'economia digitale americana: Searzhudin Tamirlanovich Aktulaev, cittadino russo di 40 anni, è ora sotto processo negli Stati Uniti dopo essere stato estradato da Cipro. L'accusa? Aver infettato decine di migliaia di freelance con malware sofisticati, rubando dati personali e credenziali di accesso su larga scala.
Il caso è esploso dopo che le autorità statunitensi hanno scoperto che oltre 80.000 lavoratori autonomi, molti dei quali residenti nella Bay Area californiana, erano stati presi di mira tramite una piattaforma di lavoro online. Aktulaev avrebbe sfruttato il sistema di messaggistica interna per inviare centinaia di account falsi e allegati Excel infetti, innescando una catena di infezioni che ha permesso il controllo remoto dei dispositivi delle vittime.
Come è stata orchestrata la truffa digitale
Secondo i documenti del tribunale, tra giugno 2016 e novembre 2017 Aktulaev ha utilizzato 255 account fake per diffondere file Excel con macro malevole. Una volta aperti, questi file scaricavano automaticamente i malware TVRAT (conosciuto anche come TeamSPy e TVSPY) e DarkVNC, strumenti che consentivano il controllo remoto dei computer tramite TeamViewer e VNC Viewer. I dati sottratti venivano inviati a server di comando e controllo, pagati in criptovaluta e ospitati anche su territorio americano.
La portata dell'attacco è stata tale che metà delle vittime risiedeva negli Stati Uniti, con una concentrazione significativa nella California settentrionale. Le informazioni rubate includevano credenziali di accesso a piattaforme di e-commerce e dati personali sensibili, utilizzati poi per frodi e altre attività criminali.
Indagini, arresto e reazione delle autorità
L'arresto di Aktulaev è avvenuto a maggio 2025 presso l'aeroporto di Larnaca, a Cipro, grazie a una collaborazione internazionale. Dopo l'estradizione, il russo è stato trasferito in custodia federale negli USA e dovrà comparire davanti al giudice Donato il 5 ottobre. Il Dipartimento di Giustizia ha sottolineato come i domini di comando e controllo fossero stati pagati in valuta virtuale, rendendo più complessa la tracciabilità dei flussi finanziari.
Parallelamente, le autorità americane hanno annunciato un'azione coordinata per smantellare l'infrastruttura malware della botnet Sality, in collaborazione con forze dell'ordine internazionali e partner privati. Il caso Aktulaev si inserisce in un contesto di crescente pressione sulle reti criminali digitali, come già emerso nell'analisi precedente sulle vulnerabilità sfruttate dai cybercriminali.
Implicazioni per la sicurezza digitale e il lavoro online
L'attacco ha messo in luce la vulnerabilità delle piattaforme di lavoro digitale, spesso considerate sicure dai freelance e dalle aziende che le utilizzano. L'uso di allegati Excel con macro malevole resta una delle tecniche preferite dai criminali informatici per aggirare i controlli e colpire utenti poco preparati. La scelta di colpire lavoratori autonomi, spesso privi di difese avanzate, dimostra una strategia mirata a massimizzare il bottino con il minimo rischio di rilevamento immediato.
La vicenda Aktulaev è un monito concreto: la criminalità informatica non conosce confini e sfrutta ogni debolezza nei sistemi digitali globali. L'estradizione e il processo negli Stati Uniti rappresentano un segnale di forza, ma la realtà è che la difesa delle piattaforme di lavoro online resta fragile e troppo spesso affidata alla buona volontà degli utenti. Finché le aziende tech non investiranno seriamente in sicurezza proattiva e formazione, i freelance continueranno a essere il bersaglio preferito di chi, come Aktulaev, trasforma la vulnerabilità digitale in un business criminale internazionale.
