La actuación conjunta contra el grupo de ransomware KillSec ha terminado con tres detenciones, ocho registros y la intervención de servidores, dominios, dispositivos y activos vinculados a sus actividades.
Cinco servidores y 110 terabytes de datos bajo control policial
Uno de los principales resultados de la operación ha sido la intervención de la infraestructura tecnológica de KillSec.
El 30 de septiembre, las autoridades asumieron el control de su página de filtraciones y aseguraron al menos 110 terabytes de información para impedir nuevos accesos no autorizados.
A lo largo de la investigación también quedaron bajo control policial cinco servidores centrales. Parte de estos sistemas se utilizaban presuntamente para gestionar las operaciones del grupo y almacenar información obtenida de las organizaciones atacadas.
Los investigadores intervinieron además varios dominios utilizados por KillSec. Estos intentaban acceder a ellos pasaron a encontrarse con un aviso oficial que informaba de la actuación policial.
La investigación internacional analiza alrededor de 1.000 presuntos ataques. Aproximadamente 500 habrían conseguido sus objetivos y se contabilizan más de 280 víctimas. Algunas habrían llegado a pagar rescates próximos a los 500.000 euros mediante criptomonedas.
Así extorsionaba KillSec a sus víctimas
El funcionamiento del grupo se apoyaba en la búsqueda de vulnerabilidades y accesos insuficientemente protegidos, especialmente en servicios de almacenamiento en la nube.
Una vez dentro de los sistemas, los atacantes copiaban información interna sensible y la trasladaban a infraestructuras que controlaban.
Posteriormente, comenzaba la fase de extorsión. Las organizaciones afectadas aparecían identificadas en una página de filtraciones alojada en la dark web y recibían amenazas de publicación de los archivos robados si rechazaban pagar el rescate.
Cuando las negociaciones fracasaban, parte de esa información podía quedar disponible para su descarga.
Los investigadores han determinado además que KillSec utilizaba inteligencia artificial para construir y mantener parte de su infraestructura de ransomware y localizar potenciales objetivos.
Un presunto administrador de solo 16 años
La edad de algunos de los investigados es uno de los aspectos más llamativos del caso. Las pesquisas identificaron como presunto administrador y operador principal de KillSec a un adolescente de 16 años.
Otro de los sospechosos cumplió 18 años en agosto de 2026, aunque todavía era menor cuando se habrían cometido algunos de los delitos investigados.
Las autoridades han identificado también personas que presuntamente ejercían funciones de negociación y afiliación dentro de la estructura.
Los diferentes procedimientos abiertos contra KillSec comenzaron a converger después de que varios países investigaran ataques atribuidos al grupo desde principios de 2025.
Las pesquisas continúan y no se descarta que aparezcan nuevos implicados conforme se analice la enorme cantidad de información intervenida.
España, pieza importante en la investigación
La operación ha tenido también una vertiente destacada en España. La Guardia Civil y los Mossos d’Esquadra han trabajado conjuntamente en la investigación y han detenido en Alicante a un menor de nacionalidad rumana por su presunta vinculación con KillSec.
Los agentes efectuaron dos registros en la provincia de Alicante, uno en un domicilio y otro en una oficina situada en un establecimiento hotelero. Además, una mujer figura como investigada por su posible relación con los hechos.
Durante estos registros fueron intervenidos ordenadores, teléfonos móviles, carteras de criptoactivos y herramientas relacionadas con anonimización y cifrado. Los primeros análisis permitieron detectar transacciones que corresponderían a pagos de rescates efectuados por víctimas.
La investigación de la Guardia Civil comenzó en 2025 a partir de la cooperación con el FBI de San Juan de Puerto Rico. Los investigadores de la UCO consiguieron identificar a uno de los presuntos administradores residentes en Alicante partiendo únicamente de una imagen de perfil.
Por su parte, los Mossos iniciaron sus pesquisas tras un ataque contra una entidad catalana a principios de 2025. Los ciberdelincuentes habrían accedido a sus sistemas, sustraído datos sensibles y tratado posteriormente de extorsionarla. Los daños derivados de este incidente se estimaron en cerca de un millón de euros.
La dimensión de KillSwitch ha requerido la colaboración de organismos policiales y judiciales de Bélgica, Finlandia, Alemania, Grecia, Países Bajos, Rumanía, España, Suiza, Reino Unido y Estados Unidos, además de Europol y Eurojust.
Alexandru Nicola Stoica, investigador sénior de amenazas en Bitdefender DracoTeam, destaca precisamente el alcance de esa cooperación: «Esta acción demuestra el poder de la colaboración entre los sectores de seguridad público y privado a la hora de desmantelar operaciones delictivas».
