La "Operación KillSwitch", liderada por autoridades internacionales, desmanteló a la banda de ransomware KillSec, incautando sus servidores y el sitio de filtración de datos. La investigación resultó en tres arrestos e identificó a un joven de 16 años como el presunto administrador del grupo. Se estima que la banda realizó unos 1,000 ataques globales utilizando inteligencia artificial para optimizar sus ciberataques y extorsiones.





Una operación internacional de aplicación de la ley denominada “Operation KillSwitch” incautó el sitio de filtración de datos y los servidores de la banda de ransomware KillSec, resultó en tres detenciones e identificó a un joven de 16 años como el presunto administrador del grupo.

La acción coordinada se llevó a cabo el 30 de septiembre, con la participación de autoridades de Bélgica, Estados Unidos, Finlandia, Alemania, Grecia, Países Bajos, Rumania, España, Suiza y el Reino Unido.

Europol y Eurojust también participaron en la investigación, junto con las empresas de ciberseguridad Bitdefender y Group-IB.

"La acción fue parte de la Operación KillSwitch, una investigación internacional dirigida por las autoridades alemanas sobre alrededor de 1.000 presuntos ataques en todo el mundo", afirma Europol.

"Los investigadores identificaron a un joven de 16 años como el presunto operador principal del grupo. Tres sospechosos fueron detenidos provisionalmente y se registraron ocho propiedades en Grecia, Rumania, España y el Reino Unido. Las autoridades también se centraron en los beneficios criminales del grupo".

La investigación

La investigación comenzó en 2025 y ayudó a las fuerzas del orden a identificar a sospechosos que creen que son un administrador, un desarrollador, un negociador y un afiliado del grupo de cibercrimen.

Según Europol, el presunto administrador y operador principal de KillSec tiene solo 16 años. Otro miembro sospechoso, descrito como desarrollador, cumplió 18 años en agosto de 2026 y aún era menor de edad cuando se cometieron algunos de los presuntos delitos.

Las autoridades también han identificado a personas sospechosas de ser un negociador y un afiliado.

La Policía de Hamburgo señaló que investigó la infraestructura de servidores del grupo, lo que llevó a la identificación y el cierre de cinco servidores, incluido el servidor principal de KillSec y varios servidores presuntamente utilizados para almacenar datos robados.

Uno de los sitios incautados es el sitio de filtración de datos de la dark web de KillSec, alojado en https://ks5424y3wpr5zlug5c7i6svvxweinhbdcqcfnptkfcutrncfazzgz5id.onion/, que ahora contiene un mensaje de incautación.

"El dominio, los servidores y todos los datos asociados vinculados a la Operación KillSwitch han sido tomados bajo el control de la Oficina de Policía Criminal del Estado de Hamburgo y las agencias internacionales de aplicación de la ley", reza el banner de incautación.

Sitio de filtración de datos de KillSec incautado
Fuente: BleepingComputer

Al hacer clic en el banner de incautación se accede al sitio web de la Operación KillSwitch, que incluye un vídeo de las fuerzas del orden sobre la banda de ransomware y las detenciones.

Durante la operación, las fuerzas del orden también incautaron al menos 110 terabytes de datos robados para evitar que continúe el acceso no autorizado, y realizaron ocho registros en Grecia, Rumania, España y el Reino Unido, deteniendo provisionalmente a tres sospechosos.

Hasta el momento, los investigadores han determinado que alrededor de 500 de los ataques de KillSec tuvieron éxito, aunque las autoridades advirtieron que las cifras podrían cambiar a medida que continúen analizando las pruebas incautadas.

Al menos 70 de los presuntos ataques están vinculados a organizaciones en Alemania, incluidos 18 casos relacionados con Hamburgo.

KillSec ha estado activo desde aproximadamente 2024 y se le acusa de explotar vulnerabilidades de software y dispositivos y plataformas perimetrales mal asegurados para vulnerar sistemas corporativos y robar datos sensibles.

Los actores de la amenaza utilizaron los datos corporativos robados para extorsionar a las víctimas a través del sitio de filtraciones de la dark web de KillSec, con amenazas de que los datos serían publicados si no se pagaba un rescate.

Europol afirma que KillSec recibió pagos de rescate "sustanciales" de estos ataques de robo de datos.

Los investigadores también descubrieron que los miembros del grupo utilizaron inteligencia artificial para ayudar a construir y mantener su infraestructura de ransomware e identificar víctimas potenciales.

Las autoridades están examinando ahora los ordenadores, servidores y otros datos incautados, mientras intentan rastrear los presuntos beneficios criminales de KillSec, incluidas las criptomonedas.

Los investigadores afirman que las pruebas incautadas podrían revelar más víctimas, ataques y personas involucradas en la operación de ransomware.

Fuente:
BleepingComputer