В Іспанії затримано 16-річного підлітка, підозрюваного в керуванні групою програм-вимагачів KillSec

30 вересня поліція Іспанії затримала 16-річного підлітка, який, ймовірно, керував групою програм-вимагачів KillSec. Група викрадала дані в організацій і погрожувала оприлюднити їх у разі несплати викупу. Операцію очолювали поліція та прокуратура Гамбурга.

Три затримання та взяття під контроль сайту злитів

Підлітка затримали в провінції Аліканте співробітники Guardia Civil та Mossos d'Esquadra; провели обшуки в житловому будинку та офісі, що розташований у готелі. Поліція Гамбурга вважає його ймовірним адміністратором і головним оператором групи, а спільна заява іспанської сторони називає його ймовірним головним адміністратором.

Двоє інших затриманих — віком до тридцяти років: одного затримали у Великій Британії, другого — в Румунії. Поліція провела 8 обшуків в Іспанії, Греції, Великій Британії та Румунії, під час взяття під контроль сайту злитів захистила 110 терабайтів даних, вимкнула 5 серверів, зокрема головний сервер KillSec, і розмістила повідомлення про вилучення на 5 доменах групи.

У Румунії прокурори DIICOT з управління боротьби з організованою злочинністю 30 вересня затримали 24-річного чоловіка та провели обшуки в 4 будинках у Бухаресті та повіті Васлуй. Його звинувачують у створенні організованої злочинної групи, незаконному доступі до комп’ютерів, несанкціонованому передаванні даних і вимаганні. Він вважається невинуватим, а поліція Гамбурга назвала всі три затримання тимчасовими.

Як працювала KillSec

За даними поліції Гамбурга, група проникала в організації через уразливості програмного забезпечення та погано захищені точки доступу, особливо хмарні сховища, і копіювала чутливі внутрішні дані на власні сервери. Імена жертв вона публікувала на сайті злитів; у разі відмови викрадені файли могли бути безкоштовно поширені.

За словами DIICOT, члени купували дані доступу в даркнеті, надсилали жертвам зразки їхніх даних як підтвердження та погрожували продати їх іншим кримінальним групам. За словами слідчих Гамбурга, група також використовувала AI для інфраструктури та пошуку потенційних жертв.

Розслідування охоплює приблизно 1000 ймовірних атак у світі, з яких приблизно 500 було успішно ідентифіковано; обидва числа можуть змінитися. Поліція Іспанії оцінює кількість жертв у понад 280, а за даними Europol група отримала значні викупи.

Згідно зі звітом Rapid7 за 2025 рік, KillSec спочатку була хактивістською групою і діяла щонайменше з 2021 року, а до програм-вимагачів перейшла в жовтні 2023 року. Її програми KillSecurity 2.0 і 3.0 шифрують файли, хоча в деяких випадках група вимагала від жертв лише через викрадені дані; з червня 2024 року вона також пропонувала власну програму партнерам за так званою моделлю RaaS.

Що буде далі

Розслідування Guardia Civil у 2025 році розпочалося разом з офісом FBI у Сан-Хуані, Пуерто-Рико; за фотографією одного профілю слідчі встановили підозрюваного, який проживає в провінції Аліканте. Пуерто-Рико вимагає екстрадиції затриманого у Великій Британії.

Слідчі виявили чотири ролі: адміністратор, розробник, перемовник і афілійований партнер. Ймовірний розробник у серпні досяг 18 років і на момент ймовірних злочинів частково ще був неповнолітнім; його встановлено, але не затримано. Операцію координували Europol і Eurojust; за словами поліції Гамбурга, пошук інших можливих членів триває.