El 30 de septiembre de 2026, policías de diez países desmantelaron la infraestructura de KillSec, un grupo de ransomware activo desde 2024. La operación, llamada KillSwitch, fue encabezada por las autoridades de Hamburgo, Alemania, con la coordinación de Europol y Eurojust. Participaron Bélgica, Finlandia, Alemania, Grecia, Países Bajos, Rumanía, España, Suiza, Reino Unido y Estados Unidos.
Los investigadores tomaron cinco servidores centrales y el sitio donde el grupo publicaba los datos de sus víctimas, y aseguraron al menos 110 terabytes de información robada.
| Dato | Cifra |
|---|---|
| Fecha de la acción | 30 de septiembre de 2026 |
| Países participantes | 10 |
| Detenciones | 3 |
| Cateos | 8 (España, Grecia, Rumanía y Reino Unido) |
| Servidores centrales tomados | 5 |
| Datos asegurados | Al menos 110 TB |
| Ataques investigados | Cerca de 1,000, de los cuales unos 500 se han identificado como exitosos |
Una precisión sobre las cifras. Bitdefender, que colaboró con la investigación, aclara que los cerca de 1,000 ataques corresponden a toda la operación y no solo a KillSec, y que el número puede cambiar.
Un grupo pequeño, con roles definidos
Según Europol, la investigación comenzó en 2025 y determinó que KillSec tenía al menos cuatro integrantes, cada uno con una función distinta:
- Líder y administrador principal
- Desarrollador
- Negociador, encargado de tratar con las víctimas
- Afiliado
Las autoridades no descartan que el grupo fuera más grande, y la investigación sigue abierta.
El dato que más ha llamado la atención es la edad. El presunto líder tiene 16 años y el desarrollador acababa de cumplir 18, aunque buena parte de los delitos que se le atribuyen ocurrieron cuando aún era menor de edad. Europol no ha revelado la identidad del menor. Bitdefender señaló que las personas identificadas en este caso son adolescentes.
Se trata de presuntos responsables y no hay sentencias. Lo que describen las autoridades se parece menos a un hacker solitario que a una pequeña empresa criminal con división del trabajo.
Alcance de los ataques
La firma Group-IB identificó al menos 274 organizaciones afectadas, con esta distribución por país:
| País | Porcentaje de víctimas |
|---|---|
| Estados Unidos | 35% |
| India | 17% |
| Brasil, Reino Unido, Australia y Colombia | 3% cada uno |
Los sectores más golpeados fueron los servicios financieros y la salud. Según Group-IB, entre las víctimas hubo una aseguradora importante, firmas de inversión y una aplicación de consumo con millones de usuarios.
Cuando la barrera de entrada casi desaparece
KillSec operaba bajo el modelo de "ransomware como servicio". El grupo ofrecía su plataforma y su infraestructura a afiliados externos, que realizaban los ataques a cambio de entregar una parte del rescate: el 20%, según Group-IB. Quien se sumaba no necesitaba construir sus propias herramientas ni dominar las técnicas de intrusión.
Con ese esquema, un grupo de pocas personas presuntamente logró afectar a cientos de organizaciones en todo el mundo. Los atacantes buscaban empresas con datos valiosos e infraestructura expuesta o mal protegida. Aunque la mayoría de los blancos eran pequeñas y medianas empresas, también aparecieron grandes compañías y organismos de gobierno.
Esto no significa que cualquier adolescente pueda atacar a una gran empresa por su cuenta. Sí muestra que ya no hace falta ser un experto con años de experiencia para causar un daño considerable, porque las herramientas y los servicios criminales están al alcance de quien sepa dónde buscarlos.
Qué pueden hacer las organizaciones
Medidas básicas
- Parchear los sistemas expuestos a internet; KillSec se apoyaba en vulnerabilidades conocidas.
- Revisar la configuración de la nube: accesos abiertos, permisos excesivos y valores por defecto.
- Mantener respaldos desconectados de la red principal.
- Activar la verificación en dos pasos en los servicios críticos.
Son medidas poco llamativas, pero son las que más cierran el paso a este tipo de grupos. La edad de quien ataca no cambia el riesgo: una puerta mal cerrada es igual de vulnerable ante un adolescente que ante un profesional.
Referencia: Europol, sala de prensa
Autor: Edu Quijano