Un menor de edad de nacionalidad rumana ha sido detenido en Alicante por su presunta participación en KillSec, un grupo de ransomware investigado por alrededor de 1.000 ciberataques en todo el mundo. La Guardia Civil y los Mossos d’Esquadra sitúan al sospechoso como uno de los administradores del entramado, mientras que Europol lo identifica como el presunto principal operador del grupo y precisa que tiene 16 años.
La detención forma parte de KillSwitch, una operación internacional que ha golpeado simultáneamente a las personas y a la infraestructura utilizada por KillSec. Las autoridades han tomado el control de su página de filtraciones en la dark web, intervenido dominios y puesto bajo control policial cinco servidores centrales. Además, han asegurado al menos 110 terabytes de información robada para impedir nuevos accesos no autorizados.
La operación se ha saldado con tres detenciones provisionales y ocho registros en España, Grecia, Rumanía y Reino Unido. La investigación continúa abierta para determinar la participación de otros posibles integrantes.
Vulnerabilidades y accesos mal protegidos: así entraba KillSec en las empresas
KillSec permanecía activo aproximadamente desde 2024 y su funcionamiento muestra la importancia que continúan teniendo los errores de configuración y los sistemas sin una protección adecuada como puertas de entrada a las organizaciones.
Según Europol, el grupo explotaba vulnerabilidades de software y puntos de acceso deficientemente protegidos, con especial atención a los entornos de almacenamiento en la nube. Una vez dentro, sus integrantes copiaban información interna sensible y la trasladaban a infraestructura controlada por el propio grupo.
Después comenzaba la extorsión. Las organizaciones atacadas aparecían identificadas en una página de filtraciones alojada en la internet oscura y recibían amenazas de publicación de la información sustraída si no pagaban el rescate. Cuando una víctima se negaba, los archivos podían terminar disponibles gratuitamente para su descarga.
Las autoridades investigan alrededor de 1.000 ataques atribuidos al grupo y consideran que unos 500 tuvieron éxito, aunque Europol advierte de que esta última cifra podría variar a medida que avance el análisis de las pruebas incautadas.
La investigación también ha revelado otro elemento relevante desde el punto de vista de la ciberseguridad: KillSec habría utilizado inteligencia artificial para construir y mantener su infraestructura de ransomware y localizar potenciales víctimas, según Europol.
Los investigadores atribuyen diferentes funciones a los sospechosos identificados, entre ellas las de administrador, desarrollador, negociador y afiliado.
Un ataque en Cataluña causó daños cercanos al millón de euros
La investigación española tiene dos orígenes. La Guardia Civil inició en 2025 la denominada Operación ROTOMA, en colaboración con el FBI de San Juan de Puerto Rico, para identificar a posibles miembros de KillSec residentes en España.
Partiendo únicamente de una imagen de perfil, los investigadores del Departamento de Cibercrimen de la UCO consiguieron identificar a uno de los presuntos administradores del grupo y situarlo en Alicante.
Paralelamente, los Mossos d’Esquadra investigaban un ciberataque atribuido presuntamente a KillSec contra una entidad catalana a principios de 2025. Los atacantes habrían conseguido entrar en sus sistemas, sustraer información sensible y posteriormente intentar extorsionar a la organización. Los daños derivados del incidente se estiman en cerca de un millón de euros, según la investigación policial.
La creación de un equipo conjunto entre ambos cuerpos permitió conectar las pesquisas y determinar la posible participación del sospechoso localizado en Alicante tanto en la administración de KillSec como en el ataque cometido en Cataluña.
En los dos registros efectuados en Alicante —un domicilio y una oficina situada en un establecimiento hotelero— se han intervenido ordenadores, teléfonos móviles, carteras de criptoactivos y servicios relacionados con la anonimización y el cifrado de información. Una mujer también ha quedado investigada por su presunta vinculación con los hechos.
El análisis inicial ya habría permitido encontrar transacciones correspondientes a rescates pagados por algunas víctimas, según la Guardia Civil.
La investigación entra ahora en una fase especialmente relevante. Los especialistas tendrán que analizar los dispositivos y los 110 TB de información asegurada, además de seguir el rastro de los criptoactivos y otros posibles beneficios obtenidos por KillSec.
.
