“Era el principal administrador de la web, que tenían en la darkweb [parte oculta de internet que no aparece en los buscadores tradicionales] un desarrollador que controlaba la infraestructura informática. Además de sus propios ataques, también alquilaban la plataforma a terceros”, explican fuentes de la División de Investigación Criminal (DIC) de los Mossos d’Esquadra. Un pequeño error en el ataque a la empresa pública catalana permitió a los investigadores dar con una dirección IP que les llevó hasta el domicilio del menor de edad en Alicante, en el que vivía con su madre. 

Los investigadores lo identificaron como el presunto administrador y operador principal de KillSec, según informó la policía de Hamburgo el 1 de octubre aquí. La operación fue liderada por la policía y los fiscales de Hamburgo, Alemania.

La Guardia Civil y los Mossos d'Esquadra, ambas fuerzas policiales españolas, lo detuvieron en Alicante y registraron una vivienda y una oficina en un hotel de la provincia. Su declaración conjunta, difundida por elperiodic.com, lo califica como uno de los administradores del grupo y su presunto administrador principal.

Las otras 2 personas detenidas tienen unos 20 años, una en el Reino Unido y otra en Rumanía, según informó un portavoz de Europol, la agencia policial de la Unión Europea, a Reuters.

Fiscales estadounidenses en Puerto Rico y la oficina del FBI en San Juan participaron en la operación. Puerto Rico ha presentado una solicitud de extradición para el hombre detenido en el Reino Unido, señaló el portavoz de Europol.

En Rumanía, fiscales de la DIICOT, la dirección de crimen organizado y terrorismo del país, detuvieron a un joven de 24 años el 30 de septiembre y registraron 4 viviendas en Bucarest y en el condado de Vaslui. Está siendo investigado por formación de un grupo criminal organizado, acceso ilegal a un sistema informático, transferencia no autorizada de datos informáticos, operaciones ilegales con dispositivos o software y chantaje, según el comunicado de la DIICOT difundido por el periódico Bursa.

El 1 de octubre, los fiscales pidieron a un tribunal de Bucarest que lo mantuviera en custodia durante 30 días. Se presume su inocencia. La policía de Hamburgo describió las 3 detenciones como provisionales.

Los investigadores han identificado sospechosos en 4 roles: un administrador, un desarrollador, un negociador y un afiliado. Un afiliado es un socio externo que utiliza las herramientas de ransomware de un grupo para llevar a cabo ataques.

El presunto desarrollador cumplió 18 años en agosto y era menor de edad cuando ocurrieron algunos de los presuntos delitos. Ha sido identificado pero no detenido, informó Reuters.

Ni la policía de Hamburgo ni la DIICOT indicaron en sus declaraciones qué roles se sospecha que desempeñan los hombres detenidos en el Reino Unido y Rumanía.

La policía llevó a cabo 8 registros en España, Grecia, el Reino Unido y Rumanía. Aseguraron al menos 110 terabytes de datos contra nuevos accesos no autorizados al tomar el control del sitio de filtraciones.

Durante la investigación, los investigadores de Hamburgo también cerraron 5 servidores, incluido el servidor principal de KillSec aquí y varios utilizados para almacenar datos sustraídos a las víctimas. Colocaron un aviso de incautación policial en 5 de los dominios del grupo.



En España, los agentes incautaron equipos informáticos, teléfonos y carteras de criptomonedas. Un primer análisis encontró transacciones que coinciden con pagos de rescate de algunas víctimas, afirmó la policía española.

La investigación de la Guardia Civil comenzó en 2025 gracias a la cooperación con la oficina del FBI en San Juan, Puerto Rico, con el objetivo de encontrar personas vinculadas a KillSec que pudieran vivir en España. A partir de una sola imagen de perfil, sus investigadores identificaron al sospechoso, que vivía en la provincia de Alicante.

Los Mossos d'Esquadra abrieron su propio caso tras un ataque a una organización catalana a principios de 2025 que sospechan fue obra de KillSec. Los daños se estimaron en cerca de 1 millón de euros.

Autoridades de varios países comenzaron a investigar ataques atribuidos a KillSec a principios de 2025. Europol y la agencia de cooperación judicial de la UE, Eurojust, coordinaron el trabajo, y las empresas de seguridad Bitdefender y Group-IB apoyaron la investigación.

Cómo KillSec extorsionó a sus víctimas

KillSec obtenía acceso a las organizaciones explotando vulnerabilidades de software y puntos de acceso mal asegurados, especialmente el almacenamiento en la nube, según la policía de Hamburgo. Sus miembros luego copiaban datos internos confidenciales a servidores que ellos controlaban.

El grupo nombraba a sus víctimas en su sitio de filtraciones de la dark web y amenazaba con publicar sus datos a menos que pagaran un rescate. En los casos en que una víctima no pagaba, los archivos robados podían ofrecerse para descarga gratuita.

La investigación abarca aproximadamente 1,000 ataques sospechosos en todo el mundo. Hasta ahora se han identificado unos 500 como exitosos, y ambas cifras pueden cambiar a medida que los investigadores analicen las pruebas incautadas.

Los investigadores también descubrieron cómo el grupo utilizaba la IA para construir y operar su infraestructura e identificar víctimas potenciales, informó la policía de Hamburgo. Su declaración no ofrece más detalles.

Fiscales de la DIICOT dijeron que los miembros también compraban credenciales de acceso ofrecidas a la venta en la dark web, enviaban a las víctimas muestras de sus propios datos como prueba y amenazaban con vender los datos a otros grupos criminales si no se pagaba el rescate.

La policía española situó el número de víctimas en más de 280. El grupo "obtuvo pagos de rescate sustanciales", afirmó Europol en un comunicado citado por Reuters.

Las agencias llaman a KillSec grupo de ransomware, pero la conducta que describen es robo de datos y extorsión.

La empresa de seguridad Rapid7 informó en 2025 aquí que KillSec comenzó como un grupo hacktivista, activo al menos desde 2021, y pasó al ransomware en octubre de 2023. Su ransomware, KillSecurity 2.0 y 3.0, está diseñado para cifrar archivos, aunque en algunos incidentes el grupo extorsionó a las víctimas solo con datos robados. En junio de 2024, comenzó a ofrecer el ransomware a afiliados, un modelo conocido como ransomware-as-a-service.

Qué queda abierto

Eurojust afirmó aquí que las autoridades participantes "desmantelaron con éxito un grupo de ransomware" y ahora continuarán su investigación. La policía de Hamburgo señaló que continúan las indagaciones sobre otros posibles miembros.

Los investigadores están examinando los dispositivos y datos incautados y rastreando el dinero del grupo, incluidas las criptomonedas. Las pruebas podrían identificar más víctimas, ataques y sospechosos.

Fuente:
THN