KillSec 被瓦解：勒索软件团伙疑由少年主使，警方查封泄露网站与服务器
2026 年 9 月 30 日，四个欧洲国家的执法部门对勒索软件与敲诈团伙 KillSec 展开了协调统一的行动日。此次行动由欧洲刑警组织（Europol）和欧洲司法组织（Eurojust）协调，媒体称之为Operation KillSwitch。到当天结束时，五台服务器已被查封，该团伙的泄露网站及相关域名已被接管，三名嫌疑人被捕，并在希腊、罗马尼亚、西班牙和英国执行了八次入户搜查。
少年疑犯处于风波中心
据欧洲刑警组织称，KillSec 的疑似管理员兼核心成员是一名来自罗马尼亚的 16 岁少年。这名嫌疑人在行动日当天与另外两人一同被捕。有必要明确说明这意味着什么：此人只是嫌疑人，被指控运营该团伙的业务。目前没有任何定罪，调查仍在进行。尽管如此，这名疑似管理员的年龄仍引发了关注，因为它与人们印象中纪律严明的勒索软件犯罪集团形象形成了反差。 行动夺走了什么
- 行动日当天查封的五台服务器
- KillSec 的泄露网站及其域名被当局接管
- 在相关国家逮捕三人
- 在希腊、罗马尼亚、西班牙和英国执行八次入户搜查
勒索软件即服务（RaaS）降低了门槛
包括The Record在内的相关报道聚焦于勒索软件即服务（RaaS）这一角度，而此案恰好说明了这种模式的含义。在 RaaS 模式下，品牌背后的人负责维护泄露网站、谈判基础设施和加密工具，而附属成员执行入侵并分成。核心团伙不必是一群资深程序员，只需要运营一项服务。进入门槛低、工具共享，在犯罪论坛上的名气可以代替履历。正是这种结构让“少年管理员”显得可信：品牌承担了大部分工作，而协调本身——无论后果多么严重——并不需要几十年的经验。 “涉嫌领导 KillSec 勒索软件团伙的少年：执法部门查封服务器与泄露网站。”欧洲刑警组织新闻稿的标题用一句话概括了此案。
双重勒索简述
KillSec 是采用双重勒索的团伙之一。其机制很简单：首先，攻击者加密受害者的系统，使其业务停摆；其次，在触发加密之前，窃取敏感数据。受害者于是同时面对两个威胁：即便从备份恢复系统，被盗数据照样会被公开。对拥有可靠备份的组织而言，加密本身可以承受；真正持续施压的是公开泄露的威胁，这正是泄露网站成为该模式核心的原因。受害者名单出现在网站上，有时还附带数据样本和倒计时，以此施加公开压力逼其付款。 据欧洲刑警组织估计，KillSec 与全球约 1000 起攻击以及约 400 万欧元的损失相关。这两个数字均来自该机构，应视为估算值；敲诈案件中的损失很难精确计算，因为大多数受害者从不透露自己是否付款。 查封泄露网站能移除什么，又不能移除什么
接管一个泄露网站，移除的不只是一个网站。该网站是团伙的公开门面：受害者在此被点名，被盗数据的证据在此展示，附属成员也在此宣传已完成的攻击以吸引未来的客户。查封域名及其背后的服务器，等于立即切断了这一渠道。实际上，这类查封剥夺了团伙证明自身攻击能力的能力：没有正常运转的泄露网站，附属成员既无法向受害者证明数据确实被盗，也无法向其他犯罪者证明品牌仍然活跃。在查封前被列出的受害者不再面临来自这个品牌的公开威胁，新的受害者也无法再被列出。 不过，它并没有移除攻击能力本身。加密工具可以重建，被盗数据可能存放在其他服务器上，附属成员可以转投其他品牌或等待品牌重生。以往的类似查封行动之后，情况大多如此：人员散去，名字消亡，而相似的东西会以新的招牌重新出现。想深入了解这些网站作为基础设施的运作方式，请参阅我们关于 Tor 网络上勒索软件泄露网站的解读。 调查仍在继续
欧洲刑警组织和欧洲司法组织为各国当局提供了协调与行动分析支持。调查仍在继续，是否会有更多逮捕尚不可知。对参与的团队而言，这一天的实际成果是具体的：一个通过公开泄露网站运作的品牌，失去了它的服务器、域名，以及至少目前的声音。
