Conti fue durante años uno de los grupos de ransomware más grandes del mundo, extorsionando a organizaciones mediante el cifrado de sus datos y exigiendo pagos para restaurarlos. Según la BBC, el grupo generó aproximadamente 180 millones de dólares solo en 2021. Sin embargo, en 2022 la organización se desmoronó cuando miles de sus comunicaciones internas fueron filtradas en línea, revelando detalles sin precedentes sobre cómo operaba esta red criminal.

El colapso de Conti estuvo directamente vinculado a la invasión rusa de Ucrania en febrero de 2022. Cuando Rusia invadió Ucrania, los miembros del grupo comenzaron a comunicarse sobre el conflicto. Un miembro preguntó: "¿Amigos, hermanos, hay algún ucraniano además de mí?" Dos días después de que Conti publicara un mensaje de apoyo a Rusia en su sitio de la web oscura, la organización intentó retractarse, publicando: "No nos aliamos con ningún gobierno y condenamos la guerra en curso". Pero el daño ya estaba hecho.

Dos días después de este cambio de postura, más de 300.000 comunicaciones secretas del grupo fueron filtradas por uno de sus miembros, según reportes de la BBC. Joe Wrieden, líder de inteligencia de amenazas cibernéticas de la firma de seguridad británica Cyjax, describió el momento como "un día impactante". Una cuenta anónima apareció en su feed de Twitter diciendo "sabemos todo sobre ti Conti, ni siquiera puedes confiar en tu novia". Wrieden señaló que finalmente obtenían "casi una comprensión completa de lo que ha estado sucediendo durante años en uno de los grupos más notables en el espacio del ransomware".

Los mensajes filtrados revelaron debates internos sobre los objetivos del grupo, incluyendo desacuerdos significativos sobre si atacar el sector sanitario. Un miembro llamado Target fue particularmente entusiasta sobre atacar hospitales, escribiendo "que paguen millones" y "que mueran", y posteriormente "maldita sea, me estoy muriendo de risa". Target quería atacar cientos de hospitales en Estados Unidos. Sin embargo, otros miembros se oponían a esta táctica. Un miembro explicó a un nuevo recluta que no podían atacar el "sector médico" o "hospitales de maternidad".

El ataque más notable contra el sector sanitario fue el dirigido contra el Servicio de Salud Ejecutivo de Irlanda (HSE) en mayo de 2021, en plena pandemia de COVID-19. El ataque afectó a casi todos los hospitales e instalaciones de atención médica en Irlanda. Los hackers supuestamente exigían 20 millones de dólares (14 millones de libras esterlinas) para restaurar los servicios. Seamus O'Reilly, oncólogo del Hospital Universitario de Cork, describió el impacto: "No tenía capacidades de comunicación. No tenía acceso a datos históricos de pacientes. Para ser brutalmente honesto, la única vez que me derrumbé durante la pandemia fue después del ciberataque".

Donna-Marie Cullen, madre de dos hijos, estaba preparándose para someterse a un tratamiento del cáncer altamente dirigido cuando se enteró del ataque en las noticias matutinas. Recordó su ansiedad: "¿Podrían estas personas detrás de este ciberataque quitarme la vida?" Los mensajes filtrados muestran que un miembro del equipo cuestionó al fundador de Conti, conocido como Stern, sobre si había aprobado el cifrado de un hospital. El miembro escribió: "Si no lo aprobaste, le entregaré el descifrador a esa clínica. ¿Recuerdas que acordamos no tocar el sector médico?" Exactamente eso fue lo que sucedió en Irlanda. Jacky Fox, directora senior de gestión de Accenture Information Security, lideró un equipo de respuesta que trabajó 16 horas diarias. Una semana después, un colega corrió hacia ella con un papel, gritando que los hackers habían proporcionado la "clave" para descifrar los datos. Fox recordó: "Estaba tan emocionada. Creo que realmente me puse a llorar". Sin embargo, tomó meses para que los sistemas se recuperaran completamente. Afortunadamente, Donna-Marie pudo recibir su tratamiento y el cáncer desapareció.

Los mensajes también revelaron cómo los hackers veían a las personas ricas y poderosas. En octubre de 2021, la joyería internacional Graff fue hackeada y extorsionada, con Conti filtrando datos personales sobre los clientes ilustres del comerciante de diamantes en la web oscura. Las filtraciones supuestamente incluían información sobre Donald Trump, David Beckham, Philip Green, Oprah Winfrey, Frank Lampard y miembros de familias reales de naciones del Golfo. Kevin O'Sullivan, editor de la plataforma de medios tecnológicos FutureScot, describió el descubrimiento: "Fue potencialmente una historia muy grande. Era alucinante, porque estos eran datos de clientes e incluía celebridades de clase A y personas globalmente famosas".

En sus chats internos, los miembros del grupo chismeaban sobre lo que habían obtenido de las celebridades, desde historial de compras y detalles de tarjetas de crédito hasta direcciones e incluso "color de ropa interior". Un miembro escribió que "toda la red está zumbando", mientras que otro dijo que las víctimas eran "personas de muy alta clase". Sin embargo, Conti cometió un error crítico: no revisó adecuadamente los datos filtrados antes de publicarlos e inadvertidamente filtró información sobre personas poderosas, incluyendo detalles de compras de Graff aparentemente realizadas por miembros de alto perfil de la familia real saudí.

Los miembros del grupo reconocieron el peligro: "Los encontrarán y eso es todo. Se acabó". La mitigación de daños se convirtió en una prioridad, con un miembro diciendo que su grupo podría ser arruinado y la filtración tenía que ser "detenida muy rápidamente". Otro escribió: "Solo tienes que entender la línea. Las familias gobernantes son un amigo". En un movimiento altamente inusual, el grupo lanzó una disculpa, diciendo: "Cualquier información relacionada con miembros de las familias de Arabia Saudita, Emiratos Árabes Unidos y Qatar será eliminada sin ninguna exposición y revisión".

La disculpa llegó después de que el periodista Kevin O'Sullivan escribiera una historia en el Daily Mail junto con los colegas Georgia Edkins y Michael Powell. En su mensaje, Conti incluso elogió al Mail por la "gran cobertura". O'Sullivan recordó: "Fue extraordinario. No esperaba que me felicitaran por mi trabajo". Graff entregó un rescate de aproximadamente 7,5 millones de dólares, pero no respondió a las solicitudes de comentarios de la BBC. Los chats internos de Conti muestran a uno de los hackers, que afirma haber sido parte del trabajo de Graff, jactándose de recibir aproximadamente el 1% del pago, 75.000 dólares, con los que construiría una casa.

El ataque a Graff ocurrió a finales de octubre de 2021 y las cosas parecían ir bien para Conti. Como dijo el jefe Stern, "ninguno de los otros encriptadores notables quedan ahora". Sin embargo, Mango, el gerente de oficina generalmente tranquilo, estaba cada vez más frustrado. Le dijo a Stern: "Honestamente, intento resolver todas tus búsquedas locas y extravagantes pero tengo la fuerte sensación de que no te importa en absoluto. He pasado toda mi vida organizando todo esto y poniéndolo en marcha. A este ritmo, estaré gris en un año o dos".

Para febrero de 2022, cuando los mensajes fueron filtrados, Stern había desaparecido de los chats. Uno de los últimos mensajes fue tres días antes de la invasión rusa de Ucrania, de un miembro llamado Fire: "Estamos en una situación difícil con demasiado escrutinio externo de la empresa, y el jefe aparentemente ha decidido mantenerse bajo perfil. Todos los saldos de salarios serán pagados. La única pregunta es cuándo".

No fue hasta tres años después, en mayo de 2025, cuando la policía alemana identificó a Stern como Vitaly Nikoláievich Kóvalov, un ruso en sus treinta años. Ha sido sancionado por las autoridades estadounidenses y británicas y tiene una Noticia Roja de Interpol en su contra. La BBC buscó localizarlo también. Con solo un nombre y un par de fotografías, en finales de 2025 apareció una publicación anónima en la aplicación de mensajería Telegram mostrando a Kóvalov jugando tenis. El podcast BBC Cyber Hack vinculó esta única imagen a un conjunto extenso de cuentas de redes sociales dirigidas por un influencer con miles de seguidores. Kóvalov ahora podía verse vistiendo una chaqueta Louis Vuitton en una discoteca, conduciendo un SUV Bentley y pasando vacaciones en un resort exclusivo en el sur de Rusia, donde una villa familiar cuesta 22.000 libras esterlinas por semana. Kóvalov fue contactado por la BBC y no respondió.

Mientras los mensajes mostraban que los hackers eran rápidos para pasar a otros objetivos, sus víctimas quedaron recogiendo los pedazos. Jacky Fox, quien fue encargada de resolver el ataque de Irlanda, dijo: "Fue algo horrible de hacer. No tengo simpatía, empatía o comprensión de cómo otro ser humano podría hacer eso".