Lytvynenko havia se declarado culpado em junho de 2026 por conspiração para cometer fraude eletrônica e admitiu ter integrado a estrutura do Conti, atuando tanto na invasão de vítimas quanto no desenvolvimento de ferramentas utilizadas nos ataques.
Segundo documentos judiciais, ele entrou para a conspiração por volta de setembro de 2021 e esteve envolvido em operações contra empresas nos Estados Unidos e no exterior.
Pelo menos 12 vítimas foram diretamente ligadas a ele
As autoridades americanas afirmam que Lytvynenko possuía dados roubados de oito vítimas nos Estados Unidos e quatro em outros países.
Essas informações haviam sido obtidas durante ataques do Conti e eram utilizadas dentro do modelo de dupla extorsão adotado pelo grupo.
Nesse tipo de operação, os criminosos não apenas criptografam os sistemas.
Antes disso, roubam arquivos.
Depois, exigem pagamento sob duas ameaças:
a empresa pode perder acesso aos próprios sistemas;
e seus dados podem ser publicados caso o resgate não seja pago.
Essa estratégia ajudou a transformar ransomware em um negócio muito mais lucrativo.
Ele também ajudava a desenvolver malware
Lytvynenko não atuava apenas como operador.
Segundo sua própria admissão judicial, ele integrou uma equipe comandada por outro integrante do Conti e foi encarregado de desenvolver um loader.
Loaders são programas utilizados para carregar ou instalar outros componentes maliciosos dentro de um sistema comprometido.
Em uma operação de ransomware, esse tipo de ferramenta pode funcionar como parte da cadeia que prepara o ambiente para:
roubo de informações;
movimentação lateral;
execução de malware;
implantação final do ransomware.
Isso mostra que sua função não se limitava ao acesso inicial.
Ele também contribuía para a infraestrutura técnica utilizada pelo grupo.
A pena poderia ter sido muito maior
O crime de conspiração para cometer fraude eletrônica poderia resultar em uma sentença de até 20 anos de prisão.
A Justiça americana determinou quatro anos.
A condenação ocorreu em 10 de setembro de 2026.
Lytvynenko já estava sob custódia após um processo internacional que envolveu autoridades dos Estados Unidos e da Irlanda.
Ele foi preso na Irlanda
O ucraniano havia vivido em Cork, na Irlanda.
Em julho de 2023, foi preso pela polícia irlandesa, a An Garda Síochána, a pedido dos Estados Unidos.
Posteriormente, passou por processo de extradição e foi enviado ao território americano em 2025 para enfrentar as acusações.
A operação envolveu, além das autoridades americanas, o Departamento de Justiça da Irlanda, o Office of the Attorney General irlandês e a unidade nacional especializada em cibercrime.
O caso mostra como investigações de ransomware cada vez mais dependem de cooperação internacional.
Os operadores podem viver em um país, atacar vítimas em dezenas de outros e utilizar infraestrutura espalhada pelo mundo.
O Conti atingiu mais de mil vítimas
A dimensão do grupo explica por que seus integrantes continuam sendo investigados anos depois de a operação original ter sido encerrada.
Segundo o Departamento de Justiça dos Estados Unidos, o ransomware Conti infectou mais de mil vítimas em todo o mundo.
Entre 2020 e 2022, ataques associados ao grupo atingiram redes em:
47 estados americanos;
31 países estrangeiros;
Distrito de Columbia;
Porto Rico.
O FBI calculava que, apenas até janeiro de 2022, as vítimas já haviam realizado mais de US$ 150 milhões em pagamentos de resgate.
E esse número representa somente pagamentos identificados pelas autoridades.
O impacto financeiro completo pode ser maior quando são considerados:
interrupções operacionais;
recuperação de sistemas;
consultorias;
perda de negócios;
investigações;
danos reputacionais.
Conti tornou ransomware uma operação industrial
O grupo ficou conhecido por operar de maneira muito mais próxima a uma organização empresarial do que à imagem tradicional de pequenos grupos de hackers.
Havia diferentes funções.
Desenvolvedores.
Operadores de invasão.
Especialistas em negociação.
Administradores.
Equipes de suporte.
Pessoas responsáveis pelo gerenciamento das vítimas.
A estrutura permitia executar ataques simultaneamente contra organizações em vários países.
O ransomware era apenas uma parte de uma cadeia criminosa muito maior.
O grupo surgiu a partir do ecossistema Ryuk
O Conti apareceu em 2020 e possuía fortes conexões com o ecossistema criminoso que anteriormente operava o ransomware Ryuk.
Também esteve intimamente relacionado a operadores do TrickBot, um dos malware bancários e botnets mais conhecidos dos últimos anos.
Com o tempo, o grupo passou a funcionar como uma espécie de sindicato de cibercrime.
Dentro desse ecossistema também circularam ferramentas como:
TrickBot;
BazarBackdoor;
loaders;
ferramentas de acesso remoto.
O objetivo era construir uma cadeia completa para comprometer organizações, roubar informações e implantar ransomware.
Hospitais estiveram entre os alvos mais controversos
O Conti tornou-se particularmente conhecido por ataques contra o setor de saúde.
Hospitais e organizações médicas foram comprometidos durante períodos em que interrupções tecnológicas poderiam produzir impactos particularmente graves.
Ataques de ransomware em ambientes de saúde não afetam apenas computadores administrativos.
Eles podem atingir sistemas de:
agendamento;
prontuários;
laboratórios;
comunicação;
farmácia;
diagnóstico.
Por isso, grupos como Conti passaram a ser tratados por governos como uma ameaça significativa à infraestrutura crítica.
Governos também foram atingidos
Um dos casos mais conhecidos ocorreu na Costa Rica em 2022.
Ataques associados ao Conti atingiram diversos órgãos governamentais e provocaram interrupções significativas.
A situação levou o governo costarriquenho a declarar estado de emergência nacional relacionado aos ataques cibernéticos.
O episódio mostrou como ransomware havia evoluído de um problema corporativo para uma ameaça capaz de prejudicar estruturas de governo inteiras.
O grupo começou a se desintegrar em 2022
O Conti encerrou sua operação pública em 2022.
Mas isso não significa que seus integrantes simplesmente desapareceram.
O fechamento ocorreu depois de uma combinação de fatores:
pressão das autoridades;
exposição pública;
vazamento de conversas internas;
divisões dentro da organização.
Em fevereiro de 2022, após a invasão russa da Ucrânia, o grupo divulgou uma mensagem demonstrando apoio ao governo russo.
Pouco depois, um pesquisador ou integrante descontente começou a publicar uma grande quantidade de dados internos da operação.
Os vazamentos mostraram como uma gangue de ransomware funcionava por dentro
Os chamados Conti Leaks revelaram chats, ferramentas, infraestrutura e detalhes sobre a organização interna do grupo.
Pela primeira vez, pesquisadores puderam observar em grande escala como uma das maiores operações de ransomware funcionava no cotidiano.
As conversas mostravam:
salários;
hierarquia;
recrutamento;
discussões técnicas;
problemas internos;
operações contra vítimas.
Foi uma das maiores exposições já sofridas por um grupo de ransomware.
O fim do nome Conti não significou o fim dos criminosos
Essa é uma distinção importante.
Quando uma marca de ransomware desaparece, seus integrantes frequentemente migram para outras organizações.
Operadores podem reaparecer em:
novos grupos;
novos ransomware;
novas estruturas de extorsão.
Pesquisadores observaram integrantes e técnicas relacionadas ao Conti em diferentes operações posteriores.
Por isso, autoridades continuam tentando identificar e processar indivíduos mesmo anos depois de a marca original ter encerrado suas atividades.
O modelo “Ransomware as a Service” ajuda a entender essa sobrevivência
No mercado moderno de ransomware, diferentes grupos podem atuar de forma semi-independente.
Desenvolvedores criam o malware.
Afiliados invadem as empresas.
Corretores vendem acesso.
Lavadores movimentam criptomoedas.
Negociadores entram em contato com as vítimas.
Quando uma operação desaparece, essas pessoas podem simplesmente se reorganizar.
É como desmontar uma empresa e ver seus funcionários abrirem outras.
A marca termina.
O conhecimento permanece.
A prisão de Lytvynenko aconteceu anos depois dos ataques
Essa defasagem também é comum em investigações internacionais.
Os ataques atribuídos a ele aconteceram principalmente entre 2021 e 2022.
Ele foi preso em 2023.
Extraditado posteriormente.
Declarou-se culpado em 2026.
Foi condenado em setembro de 2026.
Ou seja, o processo levou anos.
Cibercriminosos podem acreditar que estão seguros depois que um grupo encerra atividades.
Mas mandados de prisão e investigações internacionais podem permanecer ativos por muito tempo.
O FBI e o Secret Service participaram da investigação
O caso foi investigado por diferentes unidades do FBI, incluindo escritórios de:
San Diego;
Nashville;
El Paso.
O U.S. Secret Service também participou.
Além disso, a Homeland Security Investigations prestou apoio.
Esse tipo de colaboração mostra como ransomware deixou de ser tratado apenas como fraude digital.
Grandes grupos são investigados como organizações criminosas transnacionais.
O Departamento de Justiça vem aumentando o número de processos
Autoridades americanas têm utilizado uma combinação de estratégias contra ransomware:
prisões;
extradições;
apreensão de servidores;
bloqueio de criptomoedas;
sanções;
derrubada de infraestrutura;
ofertas de recompensa.
Nenhuma dessas medidas individualmente elimina o ecossistema.
Mas podem elevar significativamente o risco para os operadores.
Prisões internacionais alteram a percepção de impunidade
Durante muito tempo, integrantes de grandes grupos de ransomware operaram com a percepção de que poderiam permanecer fora do alcance de autoridades americanas.
Isso é especialmente verdadeiro quando os suspeitos vivem em países sem acordos de extradição com os Estados Unidos.
Mas viajar pode mudar completamente essa situação.
Um suspeito procurado pode estar relativamente protegido em um país e ser preso ao entrar em outro que coopere com Washington.
Foi o que aconteceu com vários operadores de cibercrime ao longo dos últimos anos.
Criptomoedas também não garantem anonimato absoluto
O Conti normalmente exigia pagamento em Bitcoin.
Criptomoedas facilitaram o crescimento do ransomware ao permitir pagamentos internacionais rápidos.
Mas blockchains públicas também deixam registros permanentes.
Empresas especializadas e autoridades conseguem analisar fluxos de transações e, em algumas situações, relacionar carteiras a:
exchanges;
indivíduos;
serviços;
outras operações criminosas.
Isso ajudou a transformar investigação financeira em uma das principais armas contra grupos de extorsão digital.
US$ 150 milhões representam apenas pagamentos conhecidos
O FBI estimava mais de US$ 150 milhões em resgates associados ao Conti até janeiro de 2022.
Esse número não deve ser confundido com:
prejuízo total provocado pelo grupo.
O custo real inclui muito mais.
Uma companhia pode pagar milhões para reconstruir servidores mesmo sem entregar nenhum centavo aos criminosos.
Pode permanecer dias ou semanas com operações prejudicadas.
Pode perder contratos.
Pode enfrentar processos.
Pode precisar notificar clientes.
Portanto, a dimensão econômica do Conti vai muito além do dinheiro enviado às carteiras de ransomware.
A condenação também mostra que desenvolver ferramentas já pode colocar alguém no centro da conspiração
Lytvynenko admitiu trabalhar na programação de um loader.
Essa função ajuda a demonstrar algo importante sobre operações cibernéticas organizadas.
Nem todo integrante precisa pessoalmente apertar o botão que criptografa uma empresa.
Alguém pode:
desenvolver malware;
guardar dados roubados;
manter infraestrutura;
preparar ferramentas.
E ainda assim desempenhar papel essencial na operação criminosa.
Foi justamente essa combinação que as autoridades atribuíram ao ucraniano.
Ele era invasor e desenvolvedor
O Departamento de Justiça resumiu a participação de Lytvynenko de forma clara: ele atuava tanto como intruder quanto como developer.
Essa combinação tornava sua função particularmente útil para o grupo.
Ele conseguia participar da operação ofensiva e ao mesmo tempo contribuir tecnicamente para as ferramentas usadas por outros membros.
Segundo autoridades americanas, sua atuação causou danos diretamente a pelo menos 12 empresas.
A sentença encerra apenas uma parte da história do Conti
O grupo teve muitos integrantes.
Diversos suspeitos permanecem sob investigação ou são procurados internacionalmente.
Alguns nunca foram identificados publicamente.
Outros aparecem relacionados a operações posteriores.
A condenação de Lytvynenko, portanto, não representa o encerramento das investigações.
Representa mais um resultado de uma campanha internacional de longo prazo contra o ecossistema de ransomware.
O ransomware mudou, mas o modelo do Conti continua vivo
A marca Conti desapareceu.
A estratégia não.
Hoje, muitos grupos continuam utilizando praticamente o mesmo manual:
invasão;
movimentação lateral;
roubo de dados;
criptografia;
extorsão;
ameaça de vazamento.
Em alguns casos, a criptografia até deixou de ser necessária.
Criminosos simplesmente roubam grandes quantidades de informações e ameaçam publicá-las.
O ponto central continua sendo:
pressionar a vítima até que pagar pareça menos caro do que resistir.
A condenação envia uma mensagem aos integrantes de grupos antigos
Operações de ransomware podem durar meses ou anos.
Investigações podem durar ainda mais.
Lytvynenko entrou para o Conti em 2021.
A operação fechou em 2022.
Ele foi preso em 2023.
E recebeu sua sentença somente em 2026.
Cinco anos depois de começar sua participação, as consequências judiciais chegaram.
Para autoridades americanas, esse intervalo faz parte da estratégia.
O objetivo não é apenas interromper o ataque atual.
É tornar claro para operadores de ransomware que o desaparecimento de uma gangue não necessariamente apaga:
os crimes cometidos por seus integrantes.
