美国公布对俄罗斯三人涉嫌价值 6200 万美元网络犯罪的指控

美国检察官公布了一份起诉书，指控三名俄罗斯公民和两家公司运营防弹托管基础设施，据称这些基础设施支持勒索软件、恶意软件、网络钓鱼和其他网络犯罪。当局表示，该活动给受害者造成了超过 6200 万美元的损失。

被告是亚历山大·亚历山德罗维奇·沃洛索维克、基里尔·安德烈耶维奇·扎托洛金和尤利娅·弗拉基米罗夫娜·潘科娃。起诉书还指控总部位于圣彼得堡的 Medialand LLC（通常写作 Media Land）和 ML.Cloud LLC。

联邦大陪审团于 2024 年 12 月返回起诉书。美国司法部公布指控2026 年 7 月 14 日在俄亥俄州北区发生。所有指控仍然是指控，除非被证明有罪，否则被告被假定无罪。

谁被指控？

检察官称沃洛索维克是媒体土地的所有者。 Pankova 据称在调查和起诉时拥有 ML.Cloud，而当局将 Zatolokin 描述为参与付款和与客户协调的 Media Land 员工。

被告面临的指控涉及共谋实施和协助计算机欺诈、共谋实施电汇欺诈、电汇欺诈和共谋洗钱。

起诉书并未指控与这些公司相关的每个服务器客户或活动都是犯罪行为。检察官必须证明被告在知情的情况下参与了被指控的行为。

什么是防弹托管？

防弹托管提供商提供服务器、网络地址、域名和相关技术服务，同时抵制滥用投诉和执法取缔行动。犯罪客户可以利用这种弹性使恶意基础设施保持更长时间的在线状态。

这些服务可能会在提供商之间转移工作负载、替换被阻止的 IP 地址、注册新域或隐藏控制服务器的人员。有些使用快速通量技术来快速轮换连接到域的 IP 地址。

这美国财政部宣布对 Media Land 实施制裁将防弹托管描述为旨在逃避检测并挫败破坏恶意网络活动的努力的基础设施。

• 恶意软件的命令和控制服务器
• 勒索软件协商和数据泄露基础设施
• 网络钓鱼网站和凭据收集页面
• 用于密码猜测攻击的服务器
• 欺诈域名注册
• 犯罪论坛和在线市场
• 分布式拒绝服务基础设施

据检察官称，Media Land 和 ML.Cloud 向犯罪客户提供服务器和技术支持，用于感染计算机、分发勒索软件并勒索受害者金钱或加密货币。

据称，这些公司还支持网络钓鱼、暴力攻击、欺诈性域名和犯罪市场。 Media Land 基础设施由多个国家运营，包括中国、芬兰、荷兰和美国。

当局称，沃洛索维克在网络犯罪论坛上宣传这些服务，并推广对犯罪客户有用的功能。美国政府还认定“亚力山达”是与他相关的化名。

受害者遍布美国 21 个州

起诉书确认了 21 个州的 42 名受害者。检察官表示，受影响的部门包括银行、教育、政府、医疗保健和媒体。

俄亥俄州的受害者位于阿克伦、克利夫兰、伊利里亚、麦地那、索伦和谷景城或与这些地区相关。当局还将涉嫌的行动与美国境外的受害者联系起来，包括澳大利亚、加拿大、欧洲、阿拉伯联合酋长国和英国的组织。

6200 万美元的数字是检察官归咎于由所谓的基础设施支持的犯罪活动造成的损失。它并不代表判决或赔偿令，政府必须在法庭上证明其指控。

勒索软件团伙据称使用了基础设施

美国政府已将 Media Land 基础设施与包括 LockBit、BlackSuit 和 Play 在内的勒索软件操作连接起来。这些组织的目标是多个行业和国家的组织。

这财政部的协调制裁通知还表示 Media Land 基础设施支持针对美国公司和关键基础设施的分布式拒绝服务攻击。

托管提供商在网络犯罪经济中占据着重要地位。攻击者可以快速替换单个恶意软件样本或网络钓鱼域，但可靠的基础设施、支付支持和技术援助可以帮助他们大规模维持活动。

美国、英国和澳大利亚实施制裁

美国、英国和澳大利亚于 2025 年 11 月宣布对 Media Land 相关目标实施协调制裁。美国的行动涵盖 Media Land、ML.Cloud、Volosovik、Zatolokin 和 Pankova 以及关联公司。

根据美国的制裁，属于美国管辖范围内的指定人员或实体的财产和财产权益将被冻结。除非获得授权或豁免，否则美国人通常不能进行涉及这些指定方的交易。

制裁还会影响被封锁方持有 50% 或以上股权的公司。因此，金融机构和服务提供商必须筛查交易和业务关系的直接和间接风险。

欧盟增加进一步限制

欧盟于 2026 年 7 月 13 日实施额外制裁，即司法部宣布未密封起诉书的前一天。

这欧盟理事会Media Land、ML.Cloud 和 Volosovik 被列为针对被指控支持或开展俄罗斯网络活动的个人和实体的更广泛一揽子计划的一部分。

该委员会表示，Media Land 助长了恶意软件、勒索软件和网络钓鱼活动，影响了欧盟成员国和其他地方的关键基础设施和基本服务。欧洲的诉讼构成了与美国刑事起诉书不同的法律措施。

美国国务院悬赏高达 1000 万美元

美国国务院的正义奖励计划将为与 Media Land、ML.Cloud 和被点名个人相关的合格信息提供高达 1000 万美元的奖励。

奖励的范围比一般提供导致逮捕的信息要窄。官方媒体土地奖励通知寻求有关在外国政府指导或控制下参与针对美国关键基础设施的恶意网络活动的人员的信息。

司法部还表示，可能会进行搬迁。掌握相关信息的人应仅使用正义奖励官方网站上发布的报告选项，因为复制的 Tor 地址可能包含危险或误导性的更改。

举报渠道不是国际奥委会

政府公布的Tor地址是向正义奖励组织提交举报的渠道。它不是与 Media Land 相关的恶意基础设施，不应将其添加到威胁阻止系统中作为妥协指标。

安全团队还应避免从屏幕截图、转发或第三方文章中复制敏感报告地址。单个不正确的字符可能会将用户发送到错误的目的地或使他们遭受假冒尝试。

官方正义的奖励页面提供当前的 Tor 目的地和其他报告方法。用户应在发送证据之前直接验证该信息。

为什么基础设施中断很重要

勒索软件和网络钓鱼操作不仅仅依赖于恶意软件。他们需要托管、域名、网络地址、支付服务、技术支持以及在防御者封锁后替换基础设施的方法。

针对基础设施提供商可能会同时影响多个犯罪集团。制裁可能会限制付款和业务关系，而刑事指控可能会暴露运营商、别名、公司和涉嫌角色。

这欧盟制裁行动美国主导的措施表明，国际社会对那些被指控使网络犯罪基础设施更加耐用的公司越来越关注。

组织应该做什么

这些指控并未指出组织可以修补的单个漏洞或恶意软件系列。防御者应重点关注减少网络钓鱼、凭证盗窃、恶意软件执行和勒索软件移动成功率的控制措施。

网络团队可以使用托管和域情报来识别可疑的通信模式。但是，属于托管提供商的 IP 地址不应自动被视为犯罪活动的证据，因为托管范围可能会更改所有权或包含混合客户。

这司法部案件公告将该行动描述为“激流行动”的一部分，这是一项联邦调查局针对支持网络犯罪和欺诈的参与者、基础设施和金融网络的行动。

• 及时对面向互联网的系统应用安全更新。
• 需要对敏感帐户进行防网络钓鱼的多因素身份验证。
• 限制管理访问并监控权限更改。
• 检测异常的出站连接和新注册的域。
• 使用当前的威胁情报阻止已知的恶意基础设施。
• 维护离线或隔离备份并测试恢复程序。
• 分离关键系统以限制勒索软件的移动。
• 培训员工识别网络钓鱼和意外的身份验证请求。
• 保留可以支持调查和基础设施跟踪的日志。
• 根据当前制裁名单审查供应商和托管合作伙伴。

FAQ