נער בן 16 החשוד בניהול קבוצת תוכנות הכופר KillSec נעצר בספרד

משטרת ספרד עצרה ב-30 בספטמבר נער בן 16, שנחשד כי ניהל את קבוצת תוכנות הכופר KillSec. הקבוצה גנבה נתונים מארגונים ואיימה לפרסם אותם אם לא ישולם כופר. את המבצע הובילו משטרת המבורג והפרקליטות.

שלושה מעצרים והשתלטות על אתר ההדלפות

הנער נעצר במחוז אליקנטה על ידי Guardia Civil ו-Mossos d'Esquadra; חיפושים נערכו בבית מגורים ובמשרד ששכן בבית מלון. משטרת המבורג רואה בו מנהל משוער ומפעיל ראשי של הקבוצה, בעוד הצהרה משותפת של הצד הספרדי מכנה אותו המנהל הראשי המשוער.

שני העצורים האחרים הם מתחת לגיל 30: אחד נעצר בבריטניה, והשני ברומניה. המשטרה ערכה 8 חיפושים בספרד, ביוון, בבריטניה וברומניה; בעת השתלטות על אתר ההדלפות היא אבטחה 110 טרהבייט של נתונים, כיבתה 5 שרתים, בהם השרת הראשי של KillSec, ופרסמה הודעת תפיסה ב-5 דומיינים של הקבוצה.

ברומניה עצרו תובעים של DIICOT, היחידה לפשע מאורגן, ב-30 בספטמבר גבר בן 24 וערכו חיפושים ב-4 בתים בבוקרשט ובמחוז וסלוי. הוא מואשם בהקמת קבוצת פשע מאורגנת, גישה בלתי חוקית למחשב, העברת נתונים ללא הרשאה וסחיטה. הוא בחזקת חף מפשע, ומשטרת המבורג כינתה את שלושת המעצרים זמניים.

כיצד פעלה KillSec

לפי משטרת המבורג, הקבוצה חדרה לארגונים באמצעות חולשות בתוכנה ונקודות גישה שמוגנות באופן לקוי, במיוחד אחסון בענן, והעתיקה נתונים פנימיים רגישים לשרתים משלה. היא פרסמה שמות קורבנות באתר ההדלפות; אם סירבו, הקבצים הגנובים עלולים היו להיות מופצים בחינם.

לפי DIICOT, החברים קנו פרטי גישה ברשת האפלה, שלחו לקורבנות דגימות של הנתונים שלהם כהוכחה ואיימו למכור אותם לקבוצות פשע אחרות. לפי חוקרי המבורג, הקבוצה השתמשה ב-AI גם עבור התשתית וגם כדי לאתר קורבנות פוטנציאליים.

החקירה כוללת כ-1000 תקיפות משוערות ברחבי העולם, שמתוכן כ-500 זוהו כמוצלחות; שני המספרים עשויים להשתנות. משטרת ספרד מעריכה את מספר הקורבנות ביותר מ-280, ולפי Europol הקבוצה קיבלה תשלומי כופר משמעותיים.

לפי דוח של Rapid7 משנת 2025, KillSec הייתה תחילה קבוצת האקטיביזם המקוון ופעלה לפחות משנת 2021, אך עברה לתוכנות כופר באוקטובר 2023. התוכנות שלה KillSecurity 2.0 ו-3.0 מצפינות קבצים, אך בחלק מהמקרים הקבוצה סחטה קורבנות רק באמצעות נתונים גנובים; מאז יוני 2024 היא הציעה את התוכנה שלה גם לשותפים, במודל המכונה RaaS.

מה קורה בהמשך

חקירת Guardia Civil החלה בשנת 2025 יחד עם משרד ה-FBI בסן חואן שבפוארטו ריקו; מתוך תמונת פרופיל אחת זיהו החוקרים חשוד המתגורר במחוז אליקנטה. פוארטו ריקו ביקשה את הסגרתו של העצור בבריטניה.

החוקרים זיהו ארבעה תפקידים: מנהל, מפתח, מנהל משא ומתן ושותף מסונף. המפתח המשוער הפך לבן 18 באוגוסט, ובחלק מהתקופה שבה ביצע לכאורה את העבירות היה עדיין קטין; הוא זוהה, אך לא נעצר. את המבצע תיאמו Europol ו-Eurojust, בחקירה סייעו Bitdefender ו-Group-IB; לפי משטרת המבורג, החיפוש אחר חברים אפשריים אחרים נמשך.