Roman Seleznev, 32, befanns skyldig av en federal jury i Seattle på 38 av 40 punkter, inklusive avsiktlig skada på en skyddad dator och trådbedrägeri.
Åklagare sade att han var en "mästare hackare" bakom en plan som ledde till $170m (131m) av bedrägliga inköp.
För att överklaga hävdade hans advokat att han hade kidnappats av amerikanska agenter.
Seleznev (hans namn är också stava Seleznyov på engelska) står inför ett obligatoriskt minimistraff på fyra år i fängelse, advokaten John Henry Browne sade. En dom väntas den 2 december.
Ryskan står också inför liknande anklagelser i federala domstolar i Nevada och Georgien.
Åklagare säger Seleznev hackade sig in i detaljhandelssystem och installerade malware för att stjäla kreditkortsnummer från företag, mestadels pizzarestauranger i staten Washington.
Han sålde informationen på nätet, säger de. Systemet sägs ha genomförts mellan 2008 och 2014.
Roman är son till Valery Seleznev, rysk parlamentsledamot för det liberala demokratiska partiet.
Han och hans flickvän greps av amerikanska Secret Service-agenter på Maldivernas flygplats i juli 2014.
Advokater hävdade att hans gripande var en "kidnapping" eller en "olaglig överlämnande" som bröt mot internationell rätt, men en amerikansk distriktsdomare blockerade detta argument från rättegången.
Mr Browne sa att de planerade att utmana hans klients gripande och ett utslag som gjorde det möjligt för åklagare att införa bevis från en korrupt laptop som beslagtogs med honom.
Datorn innehöll mer än 1,7 miljoner stulna nummer, tillsammans med bevis som länkade honom till olika servrar, sade åklagare.
Sonen till en rysk parlamentsledamot har dömts för att han iscensatt en hackningsplan som riktade sig till amerikanska pizzarestauranger.