O operațiune internațională a poliției a destructurat KillSec, un grup de ransomware legat de aproximativ 1.000 de atacuri din întreaga lume. Surpriza anchetei: cel bănuit că ar fi administratorul și principalul operator al grupului are doar 16 ani. Potrivit poliției spaniole, este cetățean român și a fost arestat în orașul Alicante, din Spania. Un alt suspect a fost arestat în România. Operațiunea, numită KillSwitch, a avut loc pe 30 septembrie și a fost anunțată de Europol și Eurojust pe 1 octombrie.
Ce s-a întâmplat pe 30 septembrie
| Rezultat | Detalii |
|---|---|
| Arestări provizorii | 3 |
| Percheziții | 8 locuințe, în Spania, Grecia, România și Marea Britanie |
| Servere confiscate | 5 servere centrale, folosite pentru operațiuni și stocarea datelor victimelor |
| Date securizate | cel puțin 110 terabytes de date furate |
| Site-ul de publicare a datelor | preluat de poliție, domeniile redirecționate spre mesaje ale anchetatorilor |
| Atacuri investigate | aproximativ 1.000, dintre care circa 500 confirmate drept reușite |
Suspecții
Potrivit Europol, ancheta a identificat mai mulți membri, cu roluri distincte:
- Presupusul administrator, în vârstă de 16 ani, cetățean român, arestat în Alicante.
- Un presupus negociator, care purta discuțiile cu victimele pentru răscumpărare, arestat în Marea Britanie.
- Un alt suspect, în jur de 20 de ani, arestat în România.
- Un presupus dezvoltator, care a împlinit 18 ani în august 2026 și era minor în momentul unora dintre faptele de care e suspectat. A fost identificat, dar nu a fost arestat.
Toți sunt, deocamdată, doar suspecți, iar ancheta continuă: polițiștii analizează dispozitivele confiscate, urmăresc banii primiți în criptomonede și caută alte victime și alți posibili membri.
Cum lucra KillSec
Grupul era activ din 2024 și funcționa după modelul ransomware ca serviciu: oferea infrastructura de atac și altor infractori, în schimbul unei părți din câștig. Membrii intrau în sistemele victimelor prin vulnerabilități software nereparate și prin spații de stocare în cloud prost securizate, furau date sensibile și cereau bani, sub amenințarea publicării lor. Înainte de închidere, site-ul grupului lista în jur de 450 de victime.
Un detaliu arată cât de mult s-a schimbat infracționalitatea informatică: anchetatorii au descoperit că grupul folosea inteligența artificială pentru a-și gestiona infrastructura de ransomware și pentru a-și alege țintele. E exact tendința descrisă și de raportul Microsoft din aceeași săptămână, prezentat în runda noastră de securitate.
O operațiune europeană, cu participare românească
Ancheta a fost condusă de poliția și procurorii germani, cu sprijinul Europol și Eurojust. Au participat autorități din zece țări: Belgia, Finlanda, Germania, Grecia, Olanda, România, Spania, Elveția, Marea Britanie și SUA. Companiile de securitate Bitdefender, de origine românească, și Group-IB au oferit sprijin tehnic. Divizia de criminalitate informatică a FBI a declarat că operațiunea a „subminat capacitatea grupului de a se reface, i-a limitat raza de acțiune și a redus probabilitatea unor atacuri viitoare”.
Ce înseamnă pentru companii și pentru părinți
Pentru companii, cazul confirmă lecția constantă a ultimelor luni: majoritatea atacurilor KillSec au pornit de la vulnerabilități cunoscute, dar nereparate, și de la spații de stocare în cloud lăsate fără protecție. Actualizările aplicate la timp și verificarea permisiunilor din cloud ar fi oprit multe dintre ele.
Pentru părinți, cazul e un semnal de alarmă de alt tip. Un adolescent de 16 ani ar fi putut conduce o operațiune internațională de extorcare. Competențele tehnice nu sunt o problemă în sine, dimpotrivă. Dar pasiunea pentru informatică merită îndreptată spre zonele legale, unde e foarte căutată: programele de bug bounty, concursurile de securitate cibernetică de tip CTF sau o carieră în domeniu.
Concluzie
Operațiunea KillSwitch arată că atacatorii nu mai au nevoie de organizații mari și de ani de experiență: cu unelte de ransomware gata făcute și cu ajutorul AI-ului, câțiva tineri pot ajunge la sute de victime. Arată însă și că cooperarea internațională funcționează: zece țări, inclusiv România, au închis infrastructura grupului într-o singură zi. Ancheta merge mai departe, iar numărul victimelor identificate ar putea crește.
Informațiile provin din relatările Security Affairs, SecurityWeek, CyberScoop și Hackread, care citează comunicatele Europol și Eurojust din 1 octombrie 2026, precum și din Global Banking & Finance, care citează poliția spaniolă, pentru naționalitatea și locul arestării suspectului principal. Persoanele menționate sunt suspecți, nu au fost condamnate și beneficiază de prezumția de nevinovăție.
Fii primul care comentează acest articol!