Un'operazione internazionale delle forze dell'ordine ha smantellato l'infrastruttura del gruppo di ransomware ed estorsione KillSec, attivo dal 2024 e collegato a circa mille presunti attacchi in tutto il mondo. L'intervento, denominato Operation KillSwitch, è stato coordinato con il supporto di Europol ed Eurojust e ha coinvolto autorità di nove Paesi.

Nel corso dell'azione del 30 settembre, gli investigatori hanno assunto il controllo del sito usato dal gruppo per pubblicare i dati delle vittime, sequestrato server e messo in sicurezza almeno 110 terabyte di informazioni sottratte. Tre persone sono state arrestate in via provvisoria e otto perquisizioni sono state effettuate in Grecia, Romania, Spagna e Regno Unito.

Un modello basato sul furto e sull'estorsione

Secondo Eurojust e le autorità tedesche, KillSec individuava punti di accesso scarsamente protetti, con particolare attenzione agli ambienti cloud. Dopo l'intrusione, il gruppo copiava i dati sulle proprie infrastrutture e minacciava di renderli pubblici se l'organizzazione colpita non avesse pagato un riscatto.

Le attività attribuite al gruppo hanno interessato organizzazioni pubbliche e private in più settori. L'infrastruttura di pubblicazione aveva una funzione centrale nel meccanismo di pressione: la prospettiva della diffusione di documenti sensibili aumentava l'impatto dell'incidente anche nei casi in cui i sistemi delle vittime non erano stati cifrati.

Il presunto operatore principale ha 16 anni

Le indagini hanno identificato un ragazzo di 16 anni come presunto operatore principale del gruppo. Altri sospettati avrebbero ricoperto ruoli di amministratore, sviluppatore, negoziatore e affiliato. L'età del presunto responsabile evidenzia quanto le competenze tecniche, le piattaforme criminali e i servizi accessibili online possano ridurre le barriere di ingresso nella criminalità informatica organizzata.

La giovane età non modifica la necessità di accertare individualmente condotte e responsabilità. Le informazioni diffuse dalle autorità descrivono una struttura con ruoli differenziati e una dimensione internazionale, più ampia dell'attività di un singolo soggetto.

Cooperazione giudiziaria e tecnica

L'operazione è stata guidata dalle autorità tedesche con la partecipazione di Belgio, Finlandia, Germania, Grecia, Romania, Spagna, Svizzera, Regno Unito e Stati Uniti. Hanno inoltre collaborato Europol, Eurojust e società specializzate in sicurezza informatica. Il coordinamento ha consentito di eseguire contemporaneamente arresti, perquisizioni e sequestri dell'infrastruttura.

La presa di controllo dei server e del sito di leak riduce nell'immediato la capacità operativa del gruppo e tutela i dati già sottratti da ulteriori accessi non autorizzati. Le indagini proseguiranno per ricostruire gli attacchi, identificare altre persone coinvolte e attribuire le responsabilità nei diversi Paesi.

Le indicazioni per le organizzazioni

Il caso conferma l'importanza di proteggere gli accessi ai servizi cloud con autenticazione forte, privilegi minimi e monitoraggio continuo. Le organizzazioni dovrebbero individuare archivi esposti, revocare credenziali inutilizzate e rilevare trasferimenti anomali di grandi quantità di dati.

Backup isolati e procedure di risposta rimangono necessari, ma l'estorsione basata sulla sottrazione di informazioni richiede anche classificazione dei dati, cifratura, segmentazione e capacità di bloccare rapidamente l'esfiltrazione. La collaborazione tempestiva con autorità e specialisti può inoltre contribuire a preservare le prove e limitare la diffusione dei dati.