La policía desarticula el grupo de ransomware KillSec; su presunto líder tiene 16 años

Las fuerzas del orden europeas e internacionales han desarticulado el grupo de ransomware KillSec al incautar su infraestructura y sus datos y detener a varias personas, informó Europol. La operación, denominada Operation KillSwitch, comenzó el 30 de septiembre y estuvo dirigida por las autoridades alemanas, con el apoyo de Europol, Eurojust, organismos de varios países y la empresa de ciberseguridad Group-IB.

Europol afirmó que KillSec surgió como una amenaza grave en 2024. Durante los dos años siguientes, el grupo llevó a cabo alrededor de 1.000 ataques en todo el mundo, de los que probablemente tuvo éxito al menos la mitad. Sus objetivos incluyeron organizaciones de sectores como los servicios profesionales, la tecnología, la sanidad y los servicios financieros.

Los investigadores determinaron que el grupo tenía al menos cuatro funciones: líder, desarrollador, negociador y afiliado. Europol no ha revelado públicamente la identidad del presunto líder porque tiene 16 años. El desarrollador principal cumplió 18 años recientemente, y muchos de los delitos que se le atribuyen se cometieron cuando era menor. La investigación sigue abierta y es posible que el grupo tuviera más integrantes.

Los analistas de Group-IB identificaron al menos 274 organizaciones víctimas. Según la empresa, el 35 % estaba en Estados Unidos y el 17 % en India; Brasil, Reino Unido, Australia y Colombia representaban un 3 % cada uno. Las autoridades incautaron 110 terabytes de datos, cinco servidores centrales, varios dominios y ganancias delictivas. La redacción de Europol apunta a que hubo tres detenciones, pero no aclara si el presunto líder estaba entre las personas detenidas.

KillSec se centró inicialmente en sistemas Windows. A finales de 2024, lanzó su plataforma de afiliados KillSec 2.0, que se amplió a hosts VMware ESXi. En enero de 2025, el grupo ya reclutaba afiliados y exigía el 20 % de cada rescate.