Sequestrato in un’operazione di polizia il sito di fuga di dati del ransomware KillSec

L’infrastruttura del ransomware KillSec è stata presa in consegna in un’operazione di polizia che ha portato anche a tre arresti in Spagna, nel Regno Unito e in Romania, secondo dichiarazioni delle agenzie europee di contrasto e notizie citate da Reuters. Gli investigatori sospettano che il gruppo abbia rubato dati da organizzazioni, elencato le vittime su un sito di fuga di dati nel dark web e richiesto pagamenti per impedire la pubblicazione dei file.

La polizia spagnola ha arrestato un sedicenne ad Alicante il 30 settembre. La polizia di Amburgo ha dichiarato il 1° ottobre che gli investigatori hanno identificato l’adolescente come presunto amministratore e principale operatore di KillSec. Una dichiarazione congiunta della Guardia Civil e dei Mossos d'Esquadra, riportata da elperiodic.com, ha descritto il ragazzo come uno degli amministratori del gruppo e il suo presunto amministratore principale. Gli agenti hanno perquisito un’abitazione e un ufficio presso un hotel nella provincia di Alicante.

Altre due persone sono state arrestate lo stesso giorno, una nel Regno Unito e una in Romania. Un portavoce di Europol ha detto a Reuters che entrambe avevano poco più di vent’anni. All’operazione hanno partecipato anche i procuratori statunitensi di Porto Rico e l’ufficio di San Juan del Federal Bureau of Investigation, e Porto Rico ha presentato una richiesta di estradizione per la persona arrestata nel Regno Unito, secondo il portavoce di Europol.

In Romania, i procuratori della DIICOT, la direzione del Paese per la criminalità organizzata e il terrorismo, hanno fermato un ventiquattrenne e perquisito quattro abitazioni a Bucarest e nella contea di Vaslui. La DIICOT ha dichiarato che la persona è indagata per costituzione di un gruppo criminale organizzato, accesso illegale a un sistema informatico, trasferimento non autorizzato di dati informatici, operazioni illegali con dispositivi o software e ricatto. Il 1° ottobre, i procuratori hanno chiesto a un tribunale di Bucarest di trattenere il sospetto per 30 giorni. È presunto innocente. La polizia di Amburgo ha descritto tutti e tre gli arresti come provvisori.

L’indagine ha individuato sospetti in quattro ruoli: un amministratore, uno sviluppatore, un negoziatore e un affiliato. Nelle operazioni ransomware, un affiliato è un partner esterno che usa gli strumenti di un gruppo per effettuare attacchi. Reuters ha riferito che il presunto sviluppatore ha compiuto 18 anni ad agosto ed era minorenne quando si sarebbero verificati alcuni dei presunti reati. Lo sviluppatore è stato identificato ma non arrestato. La polizia di Amburgo e la DIICOT non hanno dichiarato quali ruoli sarebbero stati ricoperti dalle persone arrestate nel Regno Unito e in Romania.

La polizia ha effettuato otto perquisizioni in Spagna, Grecia, Regno Unito e Romania. Quando le autorità hanno preso il controllo del sito di fuga di dati, hanno messo al sicuro almeno 110 terabyte di dati contro ulteriori accessi non autorizzati. Gli investigatori di Amburgo hanno anche spento cinque server, incluso il server principale di KillSec e diversi server presumibilmente usati per archiviare dati sottratti alle vittime. Avvisi di sequestro della polizia sono stati inseriti su cinque domini del gruppo.

La polizia spagnola ha dichiarato che gli agenti hanno sequestrato apparecchiature informatiche, telefoni e wallet di criptovalute. Una prima analisi ha trovato transazioni corrispondenti a pagamenti di riscatti da parte di alcune vittime, secondo la polizia spagnola. Gli investigatori stanno ora esaminando dispositivi e dati sequestrati e seguendo le tracce del denaro, incluse le criptovalute, che potrebbero identificare altre vittime, attacchi e sospetti.

L’indagine della Guardia Civil spagnola è iniziata nel 2025 attraverso la collaborazione con l’ufficio dell’FBI a San Juan, Porto Rico, concentrata sull’individuazione di persone legate a KillSec che potessero vivere in Spagna. Gli investigatori spagnoli hanno detto di essere partiti da una singola immagine di profilo e di aver identificato il sospetto nella provincia di Alicante. I Mossos d'Esquadra hanno aperto un caso separato dopo un attacco all’inizio del 2025 contro un’organizzazione catalana, che sospettano sia stato effettuato da KillSec. Il danno derivante da quell’incidente è stato stimato vicino a 1 milione di euro.

Le autorità di diversi Paesi hanno iniziato a indagare sugli attacchi attribuiti a KillSec all’inizio del 2025. Europol ed Eurojust, l’agenzia dell’Unione europea per la cooperazione giudiziaria, hanno coordinato il lavoro. Le società di sicurezza Bitdefender e Group-IB hanno supportato l’indagine. Eurojust ha dichiarato che le autorità partecipanti avevano smantellato un gruppo ransomware e avrebbero proseguito l’indagine, mentre la polizia di Amburgo ha detto che continuavano gli accertamenti su altri possibili membri.

La polizia di Amburgo ha dichiarato che KillSec otteneva accesso alle organizzazioni sfruttando vulnerabilità software e punti di accesso poco protetti, in particolare il cloud storage. Una vulnerabilità software è una falla che può consentire a un aggressore di entrare in un sistema o di usarlo in modo improprio. Il cloud storage è l’archiviazione online gestita tramite servizi internet invece che tramite un dispositivo tenuto in ufficio. Dopo aver ottenuto l’accesso, i membri di KillSec avrebbero copiato dati interni sensibili su server da loro controllati.

Il gruppo poi nominava le vittime su un sito di fuga di dati nel dark web. Il dark web è una parte di internet che non si raggiunge tramite i normali motori di ricerca e a cui si accede spesso con strumenti speciali. Le vittime venivano minacciate della pubblicazione dei loro dati rubati se non avessero pagato. Se non pagavano, i file potevano essere offerti per il download gratuito. I procuratori della DIICOT hanno inoltre affermato che i membri acquistavano credenziali di accesso nel dark web, inviavano alle vittime campioni dei loro stessi dati come prova e minacciavano di vendere i dati ad altri gruppi criminali se non veniva pagato un riscatto.

L’indagine riguarda circa 1.000 attacchi sospetti in tutto il mondo. Circa 500 sono stati finora identificati come riusciti, e gli investigatori hanno detto che queste cifre potrebbero cambiare mentre esaminano le prove sequestrate. La polizia spagnola ha indicato il numero delle vittime in oltre 280. Europol ha dichiarato in una nota citata da Reuters che il gruppo ha ottenuto pagamenti di riscatto consistenti.

La polizia di Amburgo ha anche affermato che gli investigatori hanno scoperto che il gruppo usava l’intelligenza artificiale per costruire e gestire la propria infrastruttura e identificare potenziali vittime, ma la dichiarazione non ha fornito ulteriori dettagli. Poiché non sono stati forniti altri dettagli, dalle dichiarazioni pubbliche non è chiaro quali strumenti siano stati usati o quanto fossero importanti per gli attacchi.

Sebbene le agenzie descrivano KillSec come un gruppo ransomware, gran parte della condotta descritta pubblicamente si concentra sul furto di dati e sull’estorsione. Il ransomware di solito indica un malware che cifra i file e richiede un pagamento, mentre l’estorsione può anche consistere nel rubare dati e minacciare di pubblicarli. Rapid7 ha riferito nel 2025 che KillSec era attivo almeno dal 2021, aveva iniziato come gruppo hacktivista ed era passato al ransomware nell’ottobre 2023. Rapid7 ha detto che il ransomware di KillSec, KillSecurity 2.0 e 3.0, era progettato per cifrare i file, ma che alcuni incidenti si basavano solo sui dati rubati per fare pressione. Nel giugno 2024, secondo Rapid7, il gruppo ha iniziato a offrire ransomware agli affiliati tramite un modello ransomware-as-a-service.

Per i proprietari di siti web e i team IT, la lezione tecnica è diretta: cloud storage esposto, punti di accesso deboli e software senza patch possono diventare il primo passo in un caso di furto di dati ed estorsione. I backup sono importanti, ma non impediscono che file dei clienti rubati, documenti interni o credenziali vengano usati come leva. I sistemi che conservano dati privati richiedono patch regolari, accessi agli account rigorosi, impostazioni cloud attente e controlli per individuare vecchi punti di ingresso o punti dimenticati.