Im Zuge der Ransomware-Verurteilung erklärte das US-Justizministerium (DOJ), dass gestohlene Gesundheitsdaten von Kindern zur Erpressung der Opfer eingesetzt wurden. Staatsanwälte ordneten das Vorgehen einer umfassenderen russischen Erpressungsoperation zu, die auf mehr als 54 Unternehmen abzielte.

Neben den Vorwürfen zu weit verbreitetem Ransomware-Diebstahl und Erpressung teilte das DOJ mit, der Angeklagte habe dabei geholfen, dass eine russische Ransomware-Organisation äußerst sensible personenbezogene Daten nutzte, um den Erpressungsdruck zu erhöhen. Nach Darstellung der Staatsanwälte wurden zunächst Informationen aus den Opfern gestohlen und anschließend das entwendete Material verwendet, um Zahlungen zu fordern; die Operation sei dabei mehr gewesen als eine rein auf Verschlüsselung basierende Störung. Konkret warf die Anklage vor, dass gestohlene Gesundheitsdaten von Kindern im Rahmen des Erpressungsprozesses als Hebel eingesetzt wurden. Damit wird ein wiederkehrendes Eskalationsmuster moderner Ransomware-Fälle sichtbar: Angreifer setzen nicht nur auf Ausfallzeiten, sondern suchen zusätzliche Druckmittel, indem sie mit der Offenlegung besonders schädlicher Daten drohen oder Opfer mit genau den Informationen unter Druck setzen, die sich am wirkungsvollsten missbrauchen lassen. In der Verurteilung verwies das DOJ zudem auf den größeren Umfang des Vorgehens, darunter die Erpressung von über 54 Unternehmen sowie Gewinne, die aus den Angriffen erzielt wurden. Das Ministerium beschrieb die Beteiligung so, dass sie der Organisation dabei geholfen habe, von den Angriffen zu profitieren, einschließlich Vorfällen, bei denen Dienste wie das 911-System einer staatlichen Stelle Berichten zufolge offline gezwungen wurden. Indem das Verfahren die Missbrauchsfähigkeit von Gesundheitsdaten von Kindern in den Mittelpunkt stellt, zeigt es die realen Schäden, die über finanzielle Verluste hinausreichen und medizinische Privatsphäre sowie Verpflichtungen in der Versorgung beeinträchtigen können. Die Entscheidung signalisiert, dass Staatsanwälte Datenraub in Kombination mit Erpressungstaktiken als zentral für die strafrechtliche Verantwortlichkeit ansehen – insbesondere dann, wenn besonders schutzbedürftige Informationen gezielt eingesetzt werden, um die Zahlungsbereitschaft durchzusetzen.