La policía desmantela la banda de ransomware KillSec. Un joven de dieciséis años la habría liderado

La mayoría de la gente probablemente asociaría las bandas de ransomware con profesionales experimentados del crimen organizado. Sin embargo, detrás del grupo KillSec, que según los investigadores extorsionaba a empresas e instituciones de todo el mundo con datos robados, se encontraban principalmente adolescentes, según las fuerzas policiales europeas. La policía española detuvo a su presunto líder, un joven de dieciséis años, en el marco de la operación internacional KillSwitch.

Líder de dieciséis años detenido en España

La detención tuvo lugar en Alicante, España, y el detenido es, según la policía local, un ciudadano rumano. Un portavoz de Europol confirmó a la agencia Reuters que los investigadores lo sospechan de ser el administrador y principal operador del grupo.

La policía también detuvo a dos hombres de unos veinte años, uno en el Reino Unido y otro en Rumanía. Según Europol, las autoridades de Puerto Rico ya han solicitado la extradición del hombre detenido en el Reino Unido. Los investigadores también identificaron a un presunto desarrollador que cumplió 18 años en agosto, por lo que parte de la actividad delictiva la habría cometido siendo aún menor de edad. Todavía no ha sido detenido. También están en juego los roles de un negociador y de un llamado afiliado, es decir, un socio que realizaba ataques para la banda. La búsqueda de otros posibles miembros continúa.

¿Cómo atacaba KillSec?

El grupo estuvo activo aproximadamente desde 2024. Según Europol, accedía a los sistemas de las víctimas a través de vulnerabilidades de software sin parchear y accesos mal protegidos, especialmente a almacenamientos en la nube. Sus miembros copiaban los datos internos sensibles a sus propios servidores.

A continuación, se producía la extorsión. La banda publicaba los nombres de las víctimas en su dark web y amenazaba con divulgar sus datos si no pagaban un rescate. Quien no pagaba, sus archivos podían terminar disponibles para descarga gratuita. En algunos casos, según Europol, el grupo cobró cantidades «considerables».

Los investigadores también descubrieron que los miembros de la banda utilizaban inteligencia artificial para construir y mantener su infraestructura, así como para identificar posibles víctimas. Precisamente por el riesgo de un abuso similar, Google ha confiado su modelo más potente, Gemini 4 Argon, solo a expertos en ciberdefensa, como escribimos hace unos días.

La policía incauta la web de los atacantes y rastrea sus transacciones

La operación principal tuvo lugar el 30 de septiembre. La policía llevó a cabo ocho registros domiciliarios en España, Grecia, Rumanía y el Reino Unido y se incautó de pruebas y bienes. Durante la investigación, cinco servidores clave, incluido el servidor principal del grupo y las máquinas donde la banda almacenaba los datos robados, quedaron bajo el control de los investigadores.

La policía también se hizo cargo de la web donde la banda exponía a las víctimas y se incautó de al menos 110 terabytes de datos para que nadie más pudiera acceder a ellos. Ahora, los visitantes de los dominios del grupo son recibidos con un aviso de incautación en lugar de amenazas. Al mismo tiempo, los investigadores están rastreando los flujos financieros de la banda, incluidas las criptomonedas.

La operación fue dirigida por la Oficina de Investigación Criminal del Estado de Hamburgo junto con la Fiscalía de Hamburgo. Participaron autoridades de diez países, incluidos EE. UU., así como Europol, Eurojust y las empresas de seguridad Bitdefender y Group-IB. De los aproximadamente mil ataques que los investigadores atribuyen al grupo, al menos 70 tuvieron como objetivo a Alemania y 18 de ellos estaban directamente relacionados con Hamburgo. La policía ha confirmado hasta ahora unos 500 ataques como exitosos, pero las cifras, según ellos, podrían cambiar con un examen adicional de los datos incautados. Los investigadores no han publicado datos sobre las víctimas en otros países, incluida la República Checa.

¿Te sorprendió que los principales responsables de cientos de ataques exitosos fueran adolescentes?

Fuentes: Europol, Policía de Hamburgo, Reuters, BleepingComputer