De Oekraïense instantie die verantwoordelijk is voor het beheer van activa die in beslag zijn genomen van criminelen en gesanctioneerde personen, de Asset Recovery and Management Agency (ARMA), heeft dinsdag bekendgemaakt dat zij het doelwit is geweest van een cyberaanval. Dit gebeurde terwijl de organisatie onderzoek doet naar een mogelijke gecoördineerde poging om haar werkzaamheden te verstoren.

ARMA beheert onder meer activa die door de Oekraïense autoriteiten zijn ingenomen en die verband houden met gesanctioneerde Russen en vermeende collaborateurs van Moskou. De recente aanval vond plaats in de aanloop naar de selectie van een beheerder voor de in beslag genomen bedrijfsrechten van IDS Ukraine, een van de grootste producenten van mineraalwater en dranken in het land. Volgens Yaroslava Maksymenko, waarnemend hoofd van ARMA, heeft het Russische oligarchische kapitaal in Oekraïne door de jaren heen een netwerk opgebouwd van mensen die bereid zijn hun belangen binnen het land te dienen, wat de complexiteit van de situatie vergroot.

ARMA heeft niet bekendgemaakt wie zij verdenkt van de aanval of technische details over het incident verstrekt. De Oekraïense veiligheidsdienst SBU onderzoekt de zaak. Sinds het voorjaar heeft ARMA ook andere tekenen van vermoedelijke ongeoorloofde inmenging in haar werkzaamheden vastgesteld, waaronder ongeautoriseerde toegang tot een interne database van ARMA-medewerkers. De instantie onderzoekt of deze incidenten onderdeel zijn van een gecoördineerde poging om de concurrentie rond de IDS Ukraine-activa te ondermijnen, maar heeft hiervoor geen openbaar bewijs naar buiten gebracht.

De selectieprocedure voor een beheerder van de IDS Ukraine-activa zal volgens ARMA gewoon doorgaan. Oekraïne heeft eind 2022 de bedrijfsrechten van Russische aandeelhouders in IDS Ukraine in beslag genomen, na de grootschalige invasie door Rusland. Tot de aandeelhouders behoort onder meer Mikhail Fridman, de Russische miljardair en medeoprichter van Alfa-Bank, die sinds de invasie door Oekraïne en diverse westerse landen is gesanctioneerd. ARMA benadrukt dat gesanctioneerd Russisch kapitaal geen controle mag behouden over activa die in Oekraïne zijn ingenomen.

De instantie meldt dat zij weerstand heeft ondervonden bij het overdragen van IDS Ukraine aan onafhankelijk beheer, zonder te specificeren wie deze druk uitoefent. Dit is niet de eerste keer dat ARMA te maken heeft met een cyberdreiging die mogelijk aan Rusland kan worden toegeschreven. In april meldden Oekraïense staatsfunctionarissen dat medewerkers van ARMA doelwit waren van een cyberspionagecampagne die werd toegeschreven aan APT28, een Russisch gelinkt hackingteam dat ook bekendstaat als Fancy Bear, BlueDelta en Forest Blizzard. Destijds slaagden de hackers er niet in om de interne systemen van ARMA te penetreren.