Las autoridades policiales incautaron infraestructura vinculada al grupo KillSec y detuvieron provisionalmente a tres sospechosos el 30 de septiembre de 2026, como parte de la operación internacional KillSwitch. La acción interrumpió a un grupo relacionado por los investigadores con aproximadamente 1.000 presuntos ciberataques en todo el mundo y evitó un mayor acceso no autorizado a al menos 110 TB de información.
La Oficina Estatal de Policía Criminal de Hamburgo y la Fiscalía de Hamburgo lideraron la operación, según Europol. Las autoridades realizaron ocho registros en Grecia, Rumanía, España y el Reino Unido, y detuvieron provisionalmente a tres sospechosos.
Los investigadores consideran que un adolescente de 16 años es probablemente el principal operador de KillSec. Otro sospechoso, que se cree que actuó como desarrollador del grupo, cumplió 18 años en agosto de 2026, pero podría haber cometido algunos de los presuntos delitos cuando aún era menor de edad.
Las autoridades incautan servidores y un sitio de filtraciones
Las fuerzas del orden tomaron el control de cinco servidores centrales utilizados para gestionar las actividades de KillSec y almacenar información robada. Las autoridades también incautaron dispositivos y activos y redirigieron los dominios del grupo a un aviso policial que anunciaba la incautación de la infraestructura.
Los investigadores obtuvieron el control del sitio de filtraciones de ransomware de KillSec, donde los atacantes publicaban información de las víctimas o amenazaban con divulgarla. La infraestructura incautada contenía al menos 110 TB de información, que las autoridades dijeron que ahora está protegida contra un mayor acceso no autorizado.
KillSec opera desde aproximadamente 2024. Según los investigadores, sus miembros explotaban vulnerabilidades de software y puntos de acceso deficientemente protegidos, incluido el acceso a almacenamiento en la nube, para entrar en los sistemas de organizaciones y copiar información interna sensible.
Posteriormente, los atacantes amenazaban con publicar el material robado en un sitio de la darknet. Si una organización se negaba a pagar un rescate, los archivos podían ofrecerse para descarga gratuita. En algunos casos, los atacantes recibieron pagos sustanciales.
Los investigadores han confirmado hasta ahora unos 500 ataques exitosos entre aproximadamente 1.000 incidentes sospechosos. El total final podría cambiar después de que las autoridades analicen los dispositivos y la información incautados.
Las fuerzas del orden también determinaron que KillSec utilizaba inteligencia artificial para crear y mantener su infraestructura de ransomware e identificar posibles víctimas.
La investigación involucra a presuntos operadores juveniles
Las investigaciones sobre ataques vinculados a KillSec comenzaron en varios países a principios de 2025. Las autoridades identificaron a varias personas sospechosas de desempeñar distintas funciones en el grupo, entre ellas las de administrador, desarrollador, negociador y afiliado.
El presunto administrador y principal operador tiene 16 años, dijeron los investigadores. La investigación sobre otros posibles participantes continúa en curso.
Las autoridades están examinando los materiales incautados y rastreando presuntos ingresos delictivos, incluidas transacciones de criptomonedas. Organismos policiales de Bélgica, Finlandia, Alemania, Grecia, Países Bajos, Rumanía, España, Suiza, el Reino Unido y Estados Unidos participaron en la investigación, junto con Europol y Eurojust.
En junio de 2026, Europol y autoridades policiales de varios países también desmantelaron el servicio de criptomonedas AudiA6, que, según los investigadores, se utilizó para blanquear unos 389 millones de dólares vinculados a grupos de ransomware.
Fuente: HODL Press
