El sospechoso tiene 16 años y habría ejercido como principal administrador del grupo de ransomware. La operación internacional ha dejado tres detenidos, cinco servidores intervenidos y al menos 110 TB de información bajo control policial.
La Guardia Civil y los Mossos d’Esquadra han detenido en Alicante a un menor de 16 años considerado por los investigadores el presunto principal operador de KillSec, uno de los grupos de ransomware más activos de los últimos años. La detención forma parte de una operación internacional que ha golpeado simultáneamente a los miembros y a la infraestructura utilizada por la organización.
El joven, de nacionalidad rumana, habría desempeñado el papel de principal administrador del grupo. Durante las actuaciones en España se realizaron dos registros en la provincia de Alicante, donde fueron intervenidos ordenadores, teléfonos móviles, carteras de criptoactivos y herramientas relacionadas con anonimización y cifrado. Los primeros análisis ya habrían permitido localizar transacciones vinculadas a pagos de rescates realizados por algunas víctimas.
Cerca de 1.000 ataques desde 2024
KillSec lleva activo aproximadamente desde 2024. Las autoridades relacionan al grupo con más de 1.000 ciberataques en todo el mundo, de los cuales alrededor de 500 habrían tenido éxito, afectando a más de 280 víctimas. Algunos rescates alcanzaron aproximadamente los 500.000 euros en criptomonedas.
Su funcionamiento seguía un esquema habitual dentro de la doble extorsión. Los atacantes buscaban vulnerabilidades o puntos de acceso mal protegidos, especialmente en infraestructuras y almacenamiento cloud, para entrar en los sistemas de las organizaciones y copiar información sensible hacia servidores bajo su control. Después amenazaban a las víctimas con publicar los datos si no pagaban el rescate.
Cuando una organización se negaba a pagar, KillSec podía publicar los archivos en su sitio de filtraciones de la dark web y permitir su descarga. Los investigadores han identificado distintos roles dentro del grupo, entre ellos administrador, desarrollador, negociador y afiliado, mostrando una estructura más cercana a una organización criminal especializada que a hackers trabajando de forma aislada.
La investigación española comenzó en 2025
La parte española de la investigación, denominada Operación ROTOMA, comenzó en 2025 a partir de la colaboración de la Guardia Civil con el FBI de San Juan de Puerto Rico. Partiendo inicialmente de una imagen de perfil, los investigadores de la UCO lograron identificar a uno de los administradores del grupo que residía en Alicante.
Paralelamente, los Mossos d’Esquadra investigaban un ataque atribuido a KillSec contra una entidad catalana. Los atacantes habrían conseguido acceder a sus sistemas, sustraer información e intentar extorsionar posteriormente a la organización. Los daños derivados de ese incidente se estimaron en cerca de un millón de euros.
Ambas investigaciones terminaron confluyendo en un equipo conjunto, que permitió establecer el supuesto papel del detenido como administrador principal de KillSec y su posible relación con el ataque cometido en Cataluña.
Operación KillSwitch
La actuación forma parte de KillSwitch, una operación internacional coordinada con Europol y Eurojust en la que han participado autoridades de Bélgica, Finlandia, Alemania, Grecia, Rumanía, España, Suiza, Reino Unido y Estados Unidos, además de las empresas de ciberseguridad Bitdefender y Group-IB.
El dispositivo ha terminado con tres detenciones y ocho registros en España, Grecia, Reino Unido y Rumanía. Las autoridades también han tomado el control de cinco servidores centrales utilizados presuntamente por KillSec y de varios de sus dominios, incluido el sitio empleado para publicar y amenazar a sus víctimas.
Uno de los resultados más importantes de la operación ha sido asegurar al menos 110 terabytes de información sustraída. El material permanece ahora bajo análisis y podría servir para identificar nuevas víctimas, ataques todavía desconocidos y otros integrantes relacionados con la organización.
