KillSec smantellata: un adolescente sospettato di guidare il gruppo ransomware, la polizia sequestra leak site e server
Il 30 settembre 2026 le forze dell'ordine di quattro paesi europei hanno condotto una giornata d'azione coordinata contro il gruppo ransomware ed estorsivo KillSec. L'operazione è stata coordinata da Europol ed Eurojust, e la stampa la chiama Operation KillSwitch. Alla fine della giornata, cinque server erano stati sequestrati, il leak site del gruppo e i suoi domini erano stati presi in carico dalle autorità, tre sospetti erano stati arrestati e erano state eseguite otto perquisizioni domiciliari in Grecia, Romania, Spagna e Regno Unito.
Un adolescente al centro del caso
Secondo Europol, il presunto amministratore e membro di spicco di KillSec è un adolescente di 16 anni della Romania. Il sospettato è stato arrestato durante la giornata d'azione, insieme ad altre due persone. Vale la pena dire chiaramente cosa significa: questa persona è un sospettato, a cui è attribuita la guida delle operazioni del gruppo. Non c'è alcuna condanna e l'indagine è in corso. Ciononostante, l'età del presunto amministratore ha attirato l'attenzione, perché mal si concilia con l'immagine dei gruppi ransomware come imprese criminali disciplinate. Ciò che l'operazione ha tolto di mezzo
- Cinque server sequestrati durante la giornata d'azione
- Il leak site di KillSec e i suoi domini presi in consegna dalle autorità
- Tre arresti nei paesi coinvolti
- Otto perquisizioni domiciliari in Grecia, Romania, Spagna e Regno Unito
Il ransomware as a service ha abbassato l'asticella
La copertura del caso, compresa quella di The Record, si è concentrata sull'angolo del ransomware-as-a-service (RaaS), e il caso mostra bene cosa significa questo modello. In uno schema RaaS, le persone dietro il marchio gestiscono il leak site, l'infrastruttura di negoziazione e gli strumenti di cifratura, mentre gli affiliati eseguono le intrusioni e condividono i proventi. Il gruppo centrale non deve essere una squadra di sviluppatori esperti; deve gestire un servizio. I costi di ingresso sono bassi, gli strumenti sono condivisi e la reputazione sui forum criminali sostituisce il curriculum. È questa struttura che rende plausibile un amministratore adolescente: il marchio fa gran parte del lavoro, e coordinarlo, per quanto gravi siano le conseguenze, non richiede decenni di esperienza. «Adolescente sospettato di guidare il gruppo ransomware KillSec: le forze dell'ordine sequestrano server e leak site». Il titolo del comunicato di Europol riassume il caso in una riga.
La doppia estorsione in breve
KillSec è tra i gruppi che ricorrono alla doppia estorsione. La meccanica è semplice. Prima, gli attaccanti cifrano i sistemi della vittima, bloccando le attività. Poi, prima di attivare la cifratura, copiano dati sensibili. La vittima si trova così di fronte a due minacce contemporaneamente: ripristinare dai backup, e i dati rubati vengono pubblicati lo stesso. Per le organizzazioni con backup funzionanti, la cifratura in sé è superabile; è la minaccia di pubblicazione a rinnovare la pressione, ed è per questo che i leak site sono diventati il pezzo centrale del modello. I nomi delle vittime compaiono lì, a volte con campioni di dati e countdown, come pressione pubblica per pagare. Europol collega KillSec a circa 1.000 attacchi nel mondo, con danni stimati in circa 4 milioni di euro. Entrambe le cifre provengono dall'agenzia e vanno lette come stime; calcolare i danni nei casi di estorsione è impreciso, dal momento che la maggior parte delle vittime non rivela mai se ha pagato. Cosa toglie, e cosa non toglie, il sequestro di un leak site
Prendere possesso di un leak site toglie più di un sito web. Il sito è il volto pubblico del gruppo: è lì che le vittime vengono nominate, che viene mostrata la prova dei dati rubati e che gli affiliati pubblicizzano il lavoro completato per attrarre clienti futuri. Sequestrare i domini e i server alle loro spalle taglia quel canale all'istante. In pratica, un sequestro di questo tipo toglie al gruppo la capacità di dimostrare di poter attaccare chiunque: senza un leak site funzionante, un affiliato non può mostrare a una vittima che i dati sono davvero stati rubati, né mostrare ad altri criminali che il marchio è attivo. Le vittime elencate prima del sequestro non affrontano più una minaccia di pubblicazione attiva da questo marchio in particolare, e nuove vittime non possono essere elencate. Non elimina, tuttavia, la capacità. Gli strumenti di cifratura possono essere ricostruiti, i dati rubati possono trovarsi su altri server e gli affiliati possono passare a un altro marchio o attendere un rebranding. Questo è stato lo schema dopo sequestri comparabili: le persone si disperdono, il nome muore e qualcosa di simile riappare sotto una nuova etichetta. Per uno sguardo più da vicino a come questi siti funzionano come infrastruttura, vedere il nostro explainer sui leak site ransomware su Tor. L'indagine continua
Europol ed Eurojust hanno sostenuto le autorità nazionali con coordinamento e analisi operativa. L'indagine continua e non è ancora noto se seguiranno altri arresti. Per le squadre coinvolte, il risultato pratico della giornata è concreto: un marchio che operava attraverso un leak site pubblico ha perso i suoi server, i suoi domini e, almeno per ora, la sua voce.
