KillSec розгромлено: підлітка підозрюють у керівництві ransomware-угрупованням, поліція вилучила leak site і сервери
30 вересня 2026 року правоохоронці чотирьох європейських країн провели скоординований день дій проти ransomware-угруповання KillSec, яке займається також шантажем. Операцію координували Europol та Eurojust, у пресі її називають Operation KillSwitch. До кінця дня вилучили п'ять серверів, узяли під контроль leak site угруповання та його домени, затримали трьох підозрюваних і провели вісім обшуків у Греції, Румунії, Іспанії та Великій Британії.
Підліток у центрі справи
За даними Europol, ймовірний адміністратор і провідний учасник KillSec — 16-річний підліток з Румунії. Підозрюваного затримали в день дій разом із двома іншими особами. Варто прямо сказати, що це означає: ця людина — підозрюваний, якому інкримінують керівництво операціями угруповання. Жодного обвинувального вироку немає, розслідування триває. Утім, вік ймовірного адміністратора привернув увагу, бо він погано узгоджується з образом ransomware-банд як дисциплінованих злочинних підприємств. Що вилучила операція
- П'ять серверів, вилучених у день дій
- Leak site KillSec та його домени, узяті під контроль владою
- Три затримання в задіяних країнах
- Вісім обшуків у Греції, Румунії, Іспанії та Великій Британії
Ransomware як послуга знизив планку
Висвітлення справи, зокрема в The Record, зосередилося на моделі ransomware-as-a-service (RaaS), і ця справа добре показує, що означає така модель. За схемою RaaS люди за брендом підтримують leak site, інфраструктуру переговорів та інструменти шифрування, а афіліати проводять вторгнення й ділять прибуток. Центральній ланці не потрібно бути командою досвідчених розробників — потрібно керувати сервісом. Порог входу низький, інструменти спільні, а репутація на злочинних форумах замінює резюме. Саме ця структура робить правдоподібним адміністратора-підлітка: бренд виконує більшу частину роботи, а координація, якими б тяжкими не були наслідки, не потребує десятиліть досвіду. «Підлітка підозрюють у керівництві ransomware-угрупованням KillSec: правоохоронці вилучають сервери та leak site» — заголовок пресрелізу Europol зводить суть справи до одного рядка.
Подвійне вимагання коротко
KillSec належить до угруповань, що практикують подвійне вимагання. Механіка проста. По-перше, зловмисники шифрують системи жертви, зупиняючи її роботу. По-друге, до запуску шифрування копіюють конфіденційні дані. Жертва опиняється перед двома загрозами водночас: відновитися з резервних копій — і викрадені дані все одно опублікують. Для організацій із робочими копіями саме шифрування подолане; тиск підтримує саме загроза публікації, тому leak sites і стали центральним елементом моделі. Там з'являються імена жертв, часом із зразками даних і таймерами зворотного відліку — публічний тиск із метою домогтися виплати. Europol пов'язує KillSec із приблизно 1000 атак у світі та збитками близько 4 мільйонів євро. Обидві цифри походять від агентства, і читати їх слід як оцінки: точно порахувати збитки у справах про шантаж складно, адже більшість жертв ніколи не розкриває, чи платили вони. Що вилучення leak site прибирає, а що ні
Захоплення leak site прибирає більше, ніж просто сайт. Сайт — публічне обличчя угруповання: там називають жертв, там викладають докази крадіжки даних і там афіліати рекламують виконану роботу, щоби залучити нових клієнтів. Вилучення доменів і серверів за ними одразу відсікає цей канал. На практиці таке вилучення позбавляє угруповання здатності довести, що воно взагалі на щось здатне: без робочого leak site афіліат не може ні показати жертві, що дані справді викрадено, ні показати іншим злочинцям, що бренд живий. Жертви, перелічені до вилучення, більше не стикаються з чинною загрозою публікації від цього бренду, а нові жертви додані бути не можуть. Однак самих здібностей це не прибирає. Інструменти шифрування можна відбудувати, викрадені дані можуть лежати на інших серверах, а афіліати здатні перейти до іншого бренду або перечекати ребрендинг. Такою була картина й після подібних вилучень: люди розходяться, назва вмирає, а щось схоже відроджується під новою вивіскою. Детальніше про те, як ці сайти влаштовані як інфраструктура, — у нашому матеріалі про ransomware leak sites у мережі Tor. Розслідування триває
Europol та Eurojust підтримували національні органи координацією та операційним аналізом. Розслідування триває, і ще невідомо, чи будуть нові затримання. Для залучених команд практичний підсумок дня відчутний: бренд, що працював через публічний leak site, втратив свої сервери, домени й — принаймні поки — голос.
