La operación internacional contra el grupo de ransomware KillSec se ha saldado con tres detenciones y el cierre de sus principales servidores. La investigación atribuye al grupo alrededor de 1 000 ciberataques en todo el mundo y más de 280 víctimas en España.
La Guardia Civil detiene en Alicante al presunto líder de KillSec
La Guardia Civil y los Mossos d’Esquadra han detenido en la provincia de Alicante a un joven de 16 años sospechoso de dirigir el grupo de ciberdelincuentes KillSec, acusado de robar información confidencial a empresas y organizaciones para después exigirles dinero a cambio de no publicar sus datos.
El arresto se produjo el 30 de septiembre de 2026, en el marco de una operación internacional coordinada por las autoridades alemanas y con la participación de organismos policiales y judiciales de varios países.
El menor está considerado por los investigadores como el presunto administrador principal de KillSec. Los agentes registraron su domicilio y una oficina situada en un hotel de la provincia de Alicante. Durante los registros, incautaron equipos informáticos, teléfonos móviles y monederos de criptomonedas.
La operación también permitió tomar el control del sitio web que el grupo utilizaba para publicar información robada y cerrar varios de sus servidores. Las autoridades pretenden impedir que los datos sustraídos sigan circulando y esclarecer el alcance de los ataques.
La detención no supone una condena. El joven conserva la presunción de inocencia y su responsabilidad deberá determinarse en el procedimiento judicial correspondiente.
Tres detenidos en una operación internacional contra KillSec
La operación policial se desarrolló simultáneamente en varios países europeos. Además del menor detenido en España, las autoridades arrestaron a otros dos sospechosos, uno en Reino Unido y otro en Rumanía.
El portavoz de Europol confirmó que las tres detenciones se produjeron el 30 de septiembre. La investigación contó también con la participación de fiscales estadounidenses de Puerto Rico y de la oficina del FBI en San Juan.
Las autoridades identificaron a sospechosos con diferentes funciones dentro de la estructura de KillSec: administrador, desarrollador, negociador y afiliado. Este último término hace referencia a colaboradores externos que utilizan herramientas de ransomware para ejecutar ataques.
En el caso del detenido en Rumanía, de 24 años, la fiscalía investiga posibles delitos de pertenencia a una organización criminal, acceso ilegal a sistemas informáticos, transferencia no autorizada de datos y extorsión, entre otros.
El 1 de octubre, los fiscales rumanos solicitaron al tribunal de Bucarest que ordenara su prisión preventiva durante 30 días.
Por su parte, Puerto Rico ha solicitado la extradición del sospechoso detenido en Reino Unido, según la información facilitada por Europol.
Incautados cinco servidores y cinco dominios del grupo
Uno de los principales resultados de la operación ha sido la intervención de la infraestructura digital utilizada por KillSec.
La policía de Hamburgo, que dirigió la investigación junto con la fiscalía de esa ciudad alemana, informó del cierre de cinco servidores, entre ellos el servidor principal del grupo y otros que almacenaban información sustraída a las víctimas.
Los investigadores también consiguieron hacerse con el control de la página web de filtraciones y emitieron órdenes de incautación sobre cinco dominios vinculados a la organización.
Según los datos difundidos por las autoridades, la operación permitió proteger al menos 110 terabytes de información frente a nuevos accesos no autorizados.
Esta intervención es especialmente relevante porque el sitio web constituía una herramienta de presión sobre las víctimas. Allí se publicaban los nombres de las organizaciones atacadas y se amenazaba con divulgar sus archivos confidenciales si no pagaban.
La clausura de esa infraestructura dificulta que el grupo siga utilizando los mismos canales para extorsionar a sus víctimas, aunque no implica necesariamente que todos sus integrantes hayan sido identificados.
Más de 280 víctimas en España y cerca de un millón de euros en daños
La investigación española comenzó en 2025, cuando la Guardia Civil, en colaboración con el FBI de San Juan, inició las pesquisas para localizar a personas relacionadas con KillSec que pudieran residir en España.
Los Mossos d’Esquadra también abrieron una investigación propia después de que una organización catalana sufriera un ataque a principios de ese año. Los investigadores sospechan que el incidente fue obra de KillSec y estimaron los daños en cerca de un millón de euros.
Las autoridades españolas atribuyen al grupo más de 280 víctimas en España. Durante los registros en Alicante, los agentes encontraron dispositivos y monederos de criptomonedas que están siendo analizados.
Un primer examen de las operaciones financieras permitió detectar transacciones que coincidirían con pagos de rescate realizados por algunas víctimas. Los investigadores continúan rastreando los movimientos económicos para determinar cuánto dinero pudo obtener el grupo.
La operación también incluyó registros en Grecia, Reino Unido y Rumanía. En total, las autoridades llevaron a cabo ocho registros en los cuatro países.
Cómo actuaba KillSec para robar datos y extorsionar a empresas
Según las investigaciones de la policía alemana, KillSec accedía a las redes de las organizaciones aprovechando vulnerabilidades de software y puntos de acceso poco protegidos. Entre los objetivos se encontraban especialmente sistemas de almacenamiento en la nube.
Una vez dentro, los integrantes del grupo copiaban información confidencial y la trasladaban a servidores bajo su control.
Después comenzaba el proceso de extorsión. Los delincuentes publicaban el nombre de la víctima en su página de filtraciones y amenazaban con divulgar los archivos robados si la organización no pagaba el rescate exigido.
En algunos casos, los datos podían quedar disponibles para su descarga gratuita cuando la víctima se negaba a pagar. Los investigadores rumanos también señalaron que los sospechosos enviaban muestras de la información sustraída para demostrar que tenían acceso a ella.
Además, amenazaban con vender los datos a otros grupos criminales si no recibían el dinero solicitado.
Este método permite presionar a las organizaciones incluso cuando no se cifra la información de sus sistemas. El robo de datos y la amenaza de publicación pueden provocar daños económicos, problemas legales y perjuicios reputacionales.
La investigación apunta a unos 1 000 ataques en todo el mundo
Las autoridades investigan alrededor de 1 000 presuntos ataques atribuidos a KillSec en distintos países. De ellos, aproximadamente 500 habrían tenido éxito, aunque las cifras todavía pueden cambiar a medida que se analicen los dispositivos y los datos incautados.
La operación ha permitido identificar a sospechosos que presuntamente desempeñaban distintas funciones dentro del grupo. Sin embargo, las autoridades no han detallado qué papel concreto habrían tenido los detenidos en Reino Unido y Rumanía.
Los investigadores también han identificado a un presunto promotor inmobiliario que cumplió 18 años en agosto y que habría sido menor de edad durante parte del periodo investigado. Según la información difundida por Reuters, ha sido identificado, pero no detenido.
La investigación continúa abierta y las autoridades no descartan que existan otros integrantes de la organización.
El uso de inteligencia artificial en la infraestructura de KillSec
Uno de los aspectos que ha llamado la atención de los investigadores es el posible uso de inteligencia artificial por parte de KillSec.
La policía de Hamburgo sostiene que el grupo utilizaba herramientas de IA para construir y gestionar parte de su infraestructura, así como para identificar posibles víctimas.
Por el momento, las autoridades no han ofrecido detalles técnicos sobre las herramientas empleadas ni han explicado qué tareas concretas estaban automatizadas.
El posible uso de estas tecnologías añade una dimensión a la investigación, ya que muestra cómo las herramientas digitales pueden integrarse en actividades delictivas. No obstante, la información disponible no permite determinar hasta qué punto la inteligencia artificial facilitó los ataques.
De grupo hacktivista a organización dedicada al ransomware
KillSec comenzó su actividad como grupo de hacktivistas, según un análisis publicado por la empresa de ciberseguridad Rapid7 en 2025. La compañía sitúa su actividad al menos desde 2021 y señala que el grupo pasó a centrarse en el ransomware en octubre de 2023.
Su software, conocido como KillSecurity 2.0 y 3.0, está diseñado para cifrar archivos. Sin embargo, las investigaciones también describen operaciones en las que la principal herramienta de presión fue el robo de información y la amenaza de divulgarla.
En junio de 2024, KillSec comenzó a ofrecer su ransomware a afiliados, un modelo conocido como ransomware como servicio. Este sistema permite que otros delincuentes utilicen herramientas desarrolladas por el grupo para llevar a cabo sus propios ataques.
La estructura facilita la expansión de las operaciones, ya que los desarrolladores pueden proporcionar el software y la infraestructura mientras otros participantes se encargan de acceder a las redes de las víctimas.
Europol y Eurojust coordinaron la investigación
La operación contó con la colaboración de organismos policiales y judiciales de varios países europeos y de Estados Unidos.
Europol y Eurojust coordinaron el trabajo internacional, mientras que las empresas de ciberseguridad Bitdefender y Group-IB prestaron apoyo técnico a la investigación.
La participación de las autoridades españolas fue clave para localizar al sospechoso de Alicante. Según la información policial, los investigadores llegaron hasta él a partir de una imagen de perfil que permitió avanzar en su identificación.
La cooperación internacional también hizo posible actuar de forma simultánea contra los presuntos integrantes y la infraestructura utilizada para las actividades del grupo.
La investigación continúa pese al cierre de los servidores
Las detenciones y la intervención de los servidores suponen un avance en la investigación, pero las autoridades todavía tienen trabajo por delante.
Los agentes están examinando los dispositivos incautados y rastreando las operaciones financieras, incluidas las transacciones realizadas con criptomonedas. El análisis podría ayudar a identificar nuevas víctimas, reconstruir los ataques y localizar a otros posibles implicados.
La policía de Hamburgo ha confirmado que sigue investigando a otros sospechosos. Por tanto, no se puede considerar que todos los responsables de los ataques atribuidos a KillSec hayan sido detenidos.
El caso también pone de relieve la dimensión internacional de los delitos informáticos: una organización puede atacar a empresas de distintos países, almacenar información robada en servidores repartidos por varias jurisdicciones y utilizar criptomonedas para recibir los pagos.
La operación contra KillSec ha permitido detener a tres sospechosos y desmantelar parte de su infraestructura. El alcance definitivo de la red y las responsabilidades individuales dependerán ahora del análisis de las pruebas y del desarrollo de los procedimientos judiciales.
Toqueteo
Toqueteo
Toqueteo