Un menor, detingut a Alacant en l'operació internacional contra el grup de ransomware KillSec

Qui ha estat detingut a Alacant?

Un menor de 16 anys, detingut ahir a Alacant pels Mossos i la Guàrdia Civil, per la seva presumpta relació amb el grup de ransomware KillSec.

Segons la nota del Govern, els Mossos d'Esquadra de la DIC van actuar amb la Unitat Central Operativa (UCO) de la Guàrdia Civil, en una operació coordinada per Europol i Eurojust. A Espanya es van fer dues entrades i escorcolls, en un domicili i en una oficina d'un establiment hoteler de la província d'Alacant. Una dona ha quedat com a investigada.

Com va començar la investigació?

Els Mossos van obrir el cas arran d'un ciberatac, presumptament de KillSec, contra una entitat catalana a principis del 2025. Els atacants haurien accedit als sistemes de l'empresa, sostret informació sensible i intentat extorsionar-la. Els danys van ser de prop d'1 milió d'euros.

Per la seva banda, la Guàrdia Civil va investigar a petició de l'FBI de San Juan de Puerto Rico i, a partir de la imatge d'un perfil, va identificar un dels administradors del grup, que vivia a la província d'Alacant. Un Equip Conjunt d'Investigació entre la DIC i la UCO va permetre ubicar el sospitós i determinar el seu presumpte paper de principal administrador, i una possible participació en l'atac a Catalunya.

Què s'ha aconseguit a escala internacional?

L'operació, anomenada KillSwitch, ha acabat amb tres detencions i vuit escorcolls a Espanya, Grècia, el Regne Unit i Romania. Les autoritats han pres el control de la infraestructura del grup, inclosa la seva pàgina de filtracions, i han assegurat almenys 1.100 terabytes de dades. També han quedat sota control policial cinc servidors centrals i diversos dominis, que ara redirigeixen a un avís d'intervenció policial.

Segons el Govern, KillSec hauria fet més de 1.000 ciberatacs, uns 500 amb èxit, amb més de 280 víctimes. Algunes haurien pagat rescats d'uns 500.000 euros en criptomonedes.

Com actuava el grup?

KillSec, actiu aproximadament des del 2024, accedia als sistemes aprofitant vulnerabilitats i punts d'accés poc protegits, sobretot en entorns d'emmagatzematge en el núvol. Copiava informació interna i amenaçava amb publicar-la a la dark web si la víctima no pagava. Si no pagava, els arxius podien quedar disponibles per a la descàrrega gratuïta.

Els investigadors continuen examinant els dispositius i rastrejant els beneficis delictius. No descarten noves actuacions.