110 terabyte sotto sequestro: così è crollata KillSec

Almeno 110 terabyte di informazioni sono stati messi in sicurezza dopo il sequestro dei domini e dei server di KillSec, rete criminale specializzata negli attacchi con richiesta di riscatto. Al centro dell’indagine c’è un presunto principale operatore che oggi ha 16 anni.

L’intervento ha impedito nuovi accessi al sito utilizzato dal gruppo per esporre le organizzazioni colpite e minacciare la pubblicazione dei dati sottratti. L’operazione, coordinata a livello internazionale, ha inoltre portato al fermo provvisorio di tre persone e alla ricerca di prove in otto sedi.

Il sito trasformato in una trappola

Le autorità hanno assunto il controllo dei domini di KillSec e hanno sostituito le pagine originali con un avviso relativo al sequestro da parte delle forze dell’ordine. Cinque server considerati centrali sono passati sotto il controllo della polizia: venivano impiegati sia per dirigere le attività illecite sia per conservare i file sottratti.

Il gruppo pubblicava nella rete oscura i nomi delle vittime, accompagnandoli con l’avvertimento che i documenti sarebbero stati diffusi se il pagamento non fosse arrivato. In caso di rifiuto, i dati potevano essere messi a disposizione gratuitamente; in alcune circostanze, gli estorsori avrebbero ottenuto riscatti ingenti.

Mille attacchi sotto esame

L’inchiesta, denominata “KillSwitch”, è guidata dall’Ufficio di Polizia criminale e dalla Procura di Amburgo. Gli investigatori stanno analizzando circa mille episodi attribuiti al gruppo in vari Paesi: per ora, circa 500 risultano riusciti, ma il numero potrebbe crescere con l’esame dei dispositivi e dei materiali sequestrati.

KillSec sarebbe attiva almeno dal 2024 e avrebbe sfruttato falle nei programmi informatici e accessi scarsamente protetti, soprattutto nei servizi per l’archiviazione dei dati a distanza. Dopo l’intrusione, i membri copiavano informazioni interne sensibili sulle infrastrutture sotto il loro controllo. Secondo gli inquirenti, ricorrevano anche all’intelligenza artificiale per predisporre la piattaforma criminale e selezionare potenziali bersagli.

Indagini sui ruoli e sul denaro

Le perquisizioni si sono svolte in Spagna, Grecia, Romania e Regno Unito. Gli investigatori hanno individuato sospettati con compiti diversi, tra cui amministratore, sviluppatore, negoziatore e affiliato; il presunto sviluppatore ha compiuto 18 anni nell’agosto 2026, ma sarebbe stato minorenne quando avrebbe commesso alcuni reati.

Gli accertamenti proseguono per ricostruire la rete completa e seguire i guadagni illeciti, comprese le criptovalute. Le prove digitali potrebbero permettere di associare a KillSec altri attacchi, nuove vittime e ulteriori partecipanti.

All’attività hanno preso parte autorità di Belgio, Finlandia, Germania, Grecia, Paesi Bassi, Romania, Spagna, Stati Uniti, Porto Rico, Svizzera e Regno Unito, con il contributo di Europol, Eurojust, Bitdefender e Group-IB. Il Centro europeo per la lotta alla criminalità informatica ha riunito le informazioni investigative e fornito competenze sull’analisi digitale e sulle criptovalute, mentre la task force europea contro la criminalità informatica ha favorito il coordinamento tra gli organismi nazionali.