KillSec ontmanteld: tiener verdacht van het leiden van ransomwaregroep nadat politie leak site en servers inneemt
Op 30 september 2026 voerden politiediensten uit vier Europese landen een gecoördineerde actiedag uit tegen de ransomware- en afpersingsgroep KillSec. De operatie werd gecoördineerd door Europol en Eurojust en wordt in de berichtgeving Operation KillSwitch genoemd. Aan het einde van de dag waren vijf servers in beslag genomen, waren de leak site van de groep en de bijbehorende domeinen overgenomen, waren drie verdachten opgepakt en waren er acht huiszoekingen verricht in Griekenland, Roemenië, Spanje en het Verenigd Koninkrijk.
Een tiener in het middelpunt
Volgens Europol is de vermoedelijke beheerder en kopstuk van KillSec een 16-jarige tiener uit Roemenië. De verdachte werd tijdens de actiedag opgepakt, samen met twee anderen. Het is de moeite waard om helder te zeggen wat dat betekent: deze persoon is een verdachte, die ervan verdacht wordt de operaties van de groep te hebben geleid. Er is geen veroordeling en het onderzoek loopt nog. Toch heeft de leeftijd van de vermoedelijke beheerder aandacht getrokken, omdat die slecht past bij het beeld van ransomwarebendes als gedisciplineerde criminele ondernemingen. Wat de operatie heeft uitgeschakeld
- Vijf servers in beslag genomen tijdens de actiedag
- De leak site van KillSec en de domeinen door de autoriteiten overgenomen
- Drie arrestaties in de betrokken landen
- Acht huiszoekingen in Griekenland, Roemenië, Spanje en het Verenigd Koninkrijk
Ransomware as a service verlaagde de drempel
De berichtgeving over de zaak, onder andere door The Record, richtte zich op de ransomware-as-a-service-hoek (RaaS), en de zaak laat goed zien wat dat model betekent. In een RaaS-opzet houden de mensen achter het merk de leak site, de onderhandelingsinfrastructuur en de versleutelingstools draaiende, terwijl affiliaten de inbraken uitvoeren en de opbrengsten delen. De kerngroep hoeft geen team van doorgewinterde developers te zijn; het moet een dienst draaien. De instapdrempel is laag, de tools worden gedeeld en naamvoering op criminele forums vervangt een cv. Juist die structuur maakt een tiener als beheerder geloofwaardig: het merk doet het grootste deel van het werk, en coördinatie vraagt, hoe ernstig de gevolgen ook zijn, geen decennia ervaring. “Tiener verdacht van het leiden van ransomwaregroep KillSec: politie neemt servers en leak site in.” De kop van het Europol-persbericht vat de zaak in één regel samen.
Dubbele afpersing, in het kort
KillSec behoort tot de groepen die dubbele afpersing toepassen. De mechaniek is simpel. Eerst versleutelen aanvallers de systemen van het slachtoffer, zodat de bedrijfsvoering stokt. Ten tweede kopiëren ze vóór het starten van de versleuteling gevoelige gegevens. Het slachtoffer staat dan voor twee dreigingen tegelijk: herstellen vanuit back-ups, en de gestolen gegevens worden toch gepubliceerd. Voor organisaties met werkende back-ups is de versleuteling zelf te overleven; de publicatiedreiging houdt de druk in stand, en daarom zijn leak sites het middelpunt van het model geworden. Daar verschijnen namen van slachtoffers, soms met gegevensvoorbeelden en aftellende klokken, als openbare druk om te betalen. Europol verbindt KillSec met zo'n 1.000 aanvallen wereldwijd en een geschatte schade van ongeveer 4 miljoen euro. Beide cijfers komen van de dienst en moeten als schattingen worden gelezen; schade in afpersingszaken is lastig te berekenen, omdat de meeste slachtoffers nooit zeggen of ze hebben betaald. Wat een inbeslagneming van een leak site wegneemt — en wat niet
Een leak site overnemen neemt meer weg dan een website. De site is het publieke gezicht van de groep: daar worden slachtoffers bij naam genoemd, daar wordt het bewijs van gestolen gegevens getoond en daar adverteren affiliaten met afgeronde klussen om toekomstige klanten te trekken. De domeinen en de servers erachter in beslag nemen kappt dat kanaal onmiddellijk. In de praktijk neemt zo'n inbeslagneming de groep het vermogen om te bewijzen dat het iemand kan aanvallen: zonder werkende leak site kan een affiliate een slachtoffer niet laten zien dat gegevens echt zijn gestolen, en andere criminelen niet laten zien dat het merk actief is. Slachtoffers die vóór de inbeslagneming op de lijst stonden, zien geen actieve publicatiedreiging meer van dit merk, en nieuwe slachtoffers kunnen niet worden toegevoegd. Het neemt het vermogen zelf echter niet weg. Versleutelingstools kunnen opnieuw worden gebouwd, gestolen gegevens kunnen op andere servers liggen en affiliaten kunnen naar een ander merk overstappen of een rebranding afwachten. Dat was ook het patroon na vergelijkbare inbeslagnemingen: de mensen spreiden zich uit, de naam sterft en iets soortgelijks verschijnt onder een nieuw label. Voor een nadere blik op hoe deze sites als infrastructuur werken, zie onze explainer over ransomware leak sites op Tor. Het onderzoek loopt door
Europol en Eurojust ondersteunden de nationale autoriteiten met coördinatie en operationele analyse. Het onderzoek loopt door en het is nog niet bekend of er meer arrestaties volgen. Voor de betrokken teams is het praktische resultaat van de dag concreet: een merk dat via een openbare leak site opereerde, is zijn servers, zijn domeinen en voorlopig in elk geval zijn stem kwijt.
