KillSec разгромлена: подросток — предположительный лидер ransomware-группировки, полиция изъяла leak site и серверы
30 сентября 2026 года правоохранительные органы четырёх европейских стран провели скоординированный день действий против ransomware-группировки KillSec, занимающейся также шантажом. Операцию координировали Europol и Eurojust, в прессе она известна как Operation KillSwitch. К концу дня были изъяты пять серверов, под контроль взяты leak site группировки и её домены, задержаны три подозреваемых и проведены восемь обысков в Греции, Румынии, Испании и Великобритании.
Подросток в центре дела
По данным Europol, предполагаемый администратор и ведущий участник KillSec — 16-летний подросток из Румынии. Подозреваемого задержали в день действий вместе с двумя другими людьми. Стоит прямо сказать, что это значит: этот человек — подозреваемый, которому вменяют руководство операциями группировки. Ни одного обвинительного приговора нет, расследование продолжается. И всё же возраст предполагаемого администратора привлёк внимание: он плохо сочетается с образом ransomware-банд как дисциплинированных преступных предприятий. Что изъяла операция
- Изъяты пять серверов в день действий
- Leak site KillSec и его домены взяты под контроль властями
- Три задержания в задействованных странах
- Восемь обысков в Греции, Румынии, Испании и Великобритании
Ransomware как услуга снизил порог входа
Освещение дела, в том числе в The Record, сосредоточилось на модели ransomware-as-a-service (RaaS), и это дело хорошо показывает, что значит такая модель. При схеме RaaS люди за брендом поддерживают leak site, инфраструктуру переговоров и инструменты шифрования, а аффилиаты проводят вторжения и делят доход. Центральному звену не нужно быть командой опытных кодеров — нужно управлять сервисом. Порог входа низкий, инструменты общие, а репутация на преступных форумах заменяет резюме. Именно эта структура делает правдоподобным администратора-подростка: бренд выполняет большую часть работы, а координация, какими бы тяжёлыми ни были последствия, не требует десятилетий опыта. «Подросток — предполагаемый лидер ransomware-группировки KillSec: полиция изымает серверы и leak site» — заголовок пресс-релиза Europol сводит суть дела к одной строке.
Двойное вымогательство вкратце
KillSec относится к группировкам, использующим двойное вымогательство. Механика проста. Сначала атакующие шифруют системы жертвы, останавливая её работу. Во-вторых, до запуска шифрования они копируют конфиденциальные данные. Жертва оказывается перед двумя угрозами сразу: восстановиться из резервных копий — и украденные данные всё равно опубликуют. Для организаций с рабочими копиями само шифрование преодолимо; давление поддерживает именно угроза публикации, потому leak sites и стали центральным элементом модели. На них появляются имена жертв, иногда с образцами данных и таймерами обратного отсчёта — публичное давление с целью добиться выплаты. Europol связывает KillSec примерно с 1000 атак по всему миру и ущербом порядка 4 миллионов евро. Обе цифры исходят от агентства, и читать их следует как оценки: точно посчитать ущерб в делах о шантаже сложно, поскольку большинство жертв никогда не раскрывает, платили ли они. Что изъятие leak site убирает, а что нет
Захват leak site убирает больше, чем просто сайт. Сайт — публичное лицо группировки: там называют жертв, там выкладывают доказательства кражи данных и там аффилиаты рекламируют выполненную работу, чтобы привлечь новых клиентов. Изъятие доменов и серверов за ними отсекает этот канал сразу. На практике такое изъятие лишает группировку возможности доказать, что она вообще на что-то способна: без работающего leak site аффилиат не может ни показать жертве, что данные действительно украдены, ни показать другим преступникам, что бренд активен. Жертвы, перечисленные до изъятия, больше не сталкиваются с действующей угрозой публикации от этого бренда, а новые жертвы добавлены быть не могут. Однако возможности это не устраняет. Инструменты шифрования можно воссоздать, украденные данные могут лежать на других серверах, а аффилиаты способны перейти к другому бренду или переждать ребрендинг. Таков был сценарий и после сопоставимых изъятий: люди расходятся, имя умирает, а нечто похожее возрождается под новой вывеской. Подробнее о том, как эти сайты устроены как инфраструктура, — в нашем материале о ransomware leak sites в сети Tor. Расследование продолжается
Europol и Eurojust поддерживали национальные власти координацией и операционным анализом. Расследование продолжается, и пока неизвестно, последуют ли новые задержания. Для задействованных команд практический итог дня осязаем: бренд, работавший через публичный leak site, потерял свои серверы, домены и, по крайней мере пока, голос.
