Die Ermittlungen erfolgten mit Unterstützung des IT-Sicherheitsunternehmens Kaspersky. Der mutmaßliche Anführer steht nach Angaben der Ministeriumssprecherin Irina Wolk unter Hausarrest, zwei mutmaßliche Komplizen wurden unter Auflagen – darunter Reisebeschränkungen – freigelassen. Wolk erklärte, die Aktivitäten der Gruppe hätten die Aufmerksamkeit von Strafverfolgungsbehörden in Russland, den Vereinigten Staaten und Europa auf sich gezogen; ob ausländische Behörden an den Ermittlungen mitwirkten, führte sie nicht aus.

Den Behörden zufolge stützten sich die Täter auf ein umfangreiches Netz von Phishing-Websites, die Finanz- und Buchhaltungsdienste nachahmten, sowie auf im Ausland gehostete Server. Zudem kauften sie auf Darknet-Marktplätzen Fernwartungswerkzeuge ein, um verdeckt auf die Rechner der Opfer zuzugreifen.

Die Ermittler schilderten einen Angriff, bei dem eine Mitarbeiterin der Buchhaltung eines nicht genannten Unternehmens im September 2025 eine E-Mail erhielt, die von einem Geschäftspartner zu stammen schien. Der Anhang war als gewöhnliches Finanzdokument getarnt. Nach dem Öffnen der Datei erlangten die Angreifer mutmaßlich Fernzugriff auf den Rechner und auf das Online-Banking-System des Unternehmens. Anschließend überwiesen sie laut Innenministerium mehr als 660.000 Rubel (rund 8.000 US-Dollar) auf von ihnen kontrollierte Konten.

Bei Durchsuchungen von Wohnungen und Büros der Verdächtigen beschlagnahmte die Polizei Computer, Kommunikationstechnik und weitere Beweismittel.

Das Vorgehen der Behörden fiel in eine Phase, in der VasyGrek seine Aktivitäten offenbar über Russland hinaus ausweitete. In einer am Montag veröffentlichten Untersuchung berichtete Kaspersky, zwischen Januar und September 2026 mehr als 100 der Gruppe zugeschriebene Angriffsversuche auf Organisationen in Russland, Belarus und Kasachstan festgestellt zu haben.

Am häufigsten zielten die Angreifer den Forschern zufolge auf:

  • metallurgische Unternehmen
  • Großhändler für Rohstoffe und Industriegüter
  • Behörden
  • Organisationen aus Gesundheitswesen, Öl- und Gasbranche, Energiewirtschaft, Finanzsektor und Landwirtschaft

Kaspersky beschreibt VasyGrek als finanziell motivierte Cybercrime-Gruppe, deren Vorgehen stark auf gezieltem Phishing und auf Schadsoftware für den Fernzugriff auf Unternehmenssysteme beruht.

Den Verdächtigen werden Diebstahl sowie das Erstellen beziehungsweise Verbreiten von Schadsoftware zur Last gelegt. Im Fall einer Verurteilung drohen bis zu zehn Jahre Haft wegen Diebstahls und bis zu fünf Jahre wegen der Schadsoftware-Vorwürfe. Das Innenministerium erklärte, die Hacking-Infrastruktur der Gruppe sei zerschlagen; ob die Festnahmen deren Operationen dauerhaft beenden, ist offen.