Le forze dell’ordine hanno smantellato KillSec, un’organizzazione specializzata negli attacchi ransomware, guidata da un adolescente che oggi ha 16 anni. Lo annuncia l’Europol, in una nota. Ieri le forze dell’ordine hanno assunto il controllo del sito di KillSec, utilizzato per la diffusione di dati sottratti illecitamente, mettendo in sicurezza almeno 110 terabyte di dati e impedendo ulteriori accessi non autorizzati. Il gruppo criminale informatico utilizzava il sito per minacciare le organizzazioni di pubblicare i file rubati qualora non avessero pagato un riscatto.
L’intervento rientra nell’ambito dell’operazione “KillSwitch”, un’indagine internazionale guidata dalle autorità tedesche su circa mille presunti attacchi avvenuti in tutto il mondo. Gli inquirenti hanno individuato un sedicenne come presunto principale operatore del gruppo. Sono stati eseguiti tre arresti provvisori e perquisizioni in otto sedi tra Grecia, Romania, Spagna e Regno Unito: le autorità hanno inoltre preso di mira i proventi illeciti del gruppo.
KillSec sottraeva dati sensibili sfruttando vulnerabilità e punti di accesso scarsamente protetti nei sistemi delle organizzazioni. Finora è stato accertato che circa 500 dei presunti attacchi sono andati a segno. La cifra potrebbe variare, a mano a mano che gli inquirenti esamineranno il materiale probatorio sequestrato durante l’operazione.
L’operazione è stata condotta dall’Ufficio di Polizia criminale del Land di Amburgo e dalla Procura di Amburgo. All’indagine hanno partecipato autorità di Belgio, Finlandia, Germania, Grecia, Paesi Bassi, Romania, Spagna, Svizzera, Regno Unito e Stati Uniti, in collaborazione con Europol ed Eurojust. L’attività investigativa ha inoltre beneficiato del supporto delle aziende private di sicurezza informatica Bitdefender e Group-Ib.
Il gruppo KillSec è attivo indicativamente dal 2024. Per penetrare nei sistemi delle organizzazioni, sfruttava vulnerabilità software e punti di accesso poco sicuri, in particolare quelli relativi a servizi di cloud storage. Successivamente, i membri del gruppo copiavano dati interni sensibili sulle infrastrutture sotto il loro controllo.
I nomi delle vittime venivano pubblicati sul sito del gruppo nel dark web, accompagnati dalla minaccia di divulgare i dati sottratti, in caso di mancato pagamento. Se la vittima non pagava, i file rubati venivano resi disponibili per il download gratuito. In alcuni casi, il gruppo è riuscito a ottenere “ingenti riscatti”. Gli inquirenti hanno inoltre scoperto che il gruppo utilizzava l’intelligenza artificiale per creare e gestire la propria infrastruttura ransomware e per individuare potenziali vittime.
Le autorità di diversi Paesi hanno avviato indagini su attacchi attribuiti a KillSec all’inizio del 2025. L’indagine internazionale ha individuato sospettati che avrebbero ricoperto ruoli diversi all’interno del gruppo, tra cui amministratore, sviluppatore, negoziatore e affiliato.
Il presunto amministratore e principale operatore dell’organizzazione ha oggi 16 anni. Uno dei sospettati, che ricopriva il ruolo di sviluppatore, ha compiuto 18 anni nell’agosto 2026, ma era minorenne nel momento in cui ha commesso alcuni dei reati. Gli inquirenti hanno inoltre identificato una persona che avrebbe agito come negoziatore e un’altra come affiliato. Proseguono gli accertamenti su altri possibili membri.
L’operazione coordinata ha colpito sia le persone dietro KillSec sia i sistemi utilizzati. Le autorità hanno effettuato otto perquisizioni domiciliari in Spagna, Grecia, Romania e Regno Unito, eseguito tre arresti provvisori e sequestrato prove e beni. Nel corso dell’indagine, cinque server chiave sono stati posti sotto il controllo della polizia; tra questi figuravano infrastrutture utilizzate per gestire le attività del gruppo e per conservare i dati sottratti alle vittime.
Le autorità hanno inoltre assunto il controllo dei domini gestiti da KillSec, reindirizzando i visitatori verso una pagina di notifica di sequestro da parte delle forze dell’ordine.
Gli inquirenti stanno esaminando i dispositivi e i dati sequestrati e tracciando i proventi illeciti del gruppo, incluse le criptovalute. Le prove raccolte potrebbero contribuire a identificare ulteriori vittime, attacchi e persone coinvolte. Mentre le indagini su KillSec procedevano in diversi Paesi, Europol ha contribuito a consolidare le informazioni di intelligence. Il Centro europeo per la lotta alla criminalità informatica (Ec3) dell’agenzia ha redatto rapporti sulle attività del gruppo, ha messo in contatto gli inquirenti con partner del settore privato e ha fornito supporto specialistico per tracciare le criptovalute ed esaminare le prove digitali.
Anche la Joint Cybercrime Action Taskforce (J-Cat), ospitata da Europol, ha sostenuto le attività di coordinamento, collegamento e de-conflitto con le autorità nazionali. Grazie al coordinamento di Eurojust, le autorità giudiziarie hanno collaborato per identificare i sospettati, individuare le infrastrutture del gruppo e seguire le tracce finanziarie.
L’Agenzia ha supportato la pianificazione della giornata operativa e ha gestito un centro di coordinamento, per garantire che le misure venissero eseguite simultaneamente in tutto il mondo. All’indagine hanno partecipato autorità di Belgio, Finlandia, Germania, Grecia, Paesi Bassi, Romania, Spagna, Usa, Porto Rico, Svizzera e Regno Unito.