Cau KillSec, un grup internacional de pirates informàtics que va robar dades sensibles d'una empresa de la Generalitat

Aquesta investigació dels Mossos va confluir amb una altra del Departament de Cibercrim de la Unitat Central Operativa (UCO) de la Guàrdia Civil després de rebre informació el 2025 de l'FBI de San Juan de Puerto Rico i que va permetre identificar membres de KillSec residents a Espanya. La Guàrdia Civil, a partir d'una imatge de perfil, va aconseguir identificar un dels administradors del grup criminal que residia a la província de Alacant.

Es tracta d'un menor d'edat de nacionalitat romanesa que ha estat detingut en aquesta operació conjunta, en la qual s'han practicat dues entrades i escorcolls en un habitatge i en una oficina d'un establiment hoteler de la província de Alacant. A més, una dona ha quedat com a investigada per la seva presumpta relació amb els fets.

En els escorcolls s'ha intervingut material informàtic, telèfons mòbils, carteres de criptoactius i serveis d'anonimització i xifratge d'informació relacionats amb la presumpta activitat delictiva de l'entramat. En una primera anàlisi, els investigadors han pogut evidenciar transaccions corresponents a pagaments en forma de rescat per part d'algunes víctimes dels ciberatacs. El menor està acusat presumptament de participar en l'atac a l'empresa pública catalana. L'operació policial ha comptat amb el suport d'especialistes d'Europol i agents de Bèlgica, Alemanya i Estats Units.

Actuació internacional contra KillSec

L'actuació espanyola s'integra en l'operació internacional KillSwitch, desenvolupada contra el grup KillSec i coordinada amb Europol i Eurojust. En la investigació hi han participat autoritats de Bèlgica, Finlàndia, Alemanya, Grècia, Romania, Espanya, Suïssa, Regne Unit i Estats Units, amb el suport de les empreses de ciberseguretat Bitdefender i Group-IB.

Aquest grup hauria realitzat més de 1.000 ciberatacs arreu del món, dels quals uns 500 haurien tingut èxit amb més de 280 víctimes, algunes haurien abonat rescats d'uns 500.000 euros en criptomonedes. L'actuació desenvolupada aquest dimecres en diversos punts d'Europa va permetre que les autoritats policials i judicials prenguessin el control de la infraestructura d'aquest grup, incloent-hi la seva pàgina de filtracions. Així mateix s'han assegurat almenys 110 terabytes de dades.

Durant la investigació també es van posar sota control policial cinc servidors centrals, es van intervenir dominis utilitzats pel grup i es va actuar sobre evidències, actius i possibles beneficis delictius, incloses criptomonedes. Des del 2024, KillSec accedia a sistemes d'organitzacions mitjançant l'explotació de vulnerabilitats i de punts d'accés deficientment protegits, especialment en entorns d'emmagatzematge al núvol. Els seus integrants copiaven informació interna sensible i la traslladaven a infraestructura sota el seu control.

Les víctimes eren identificades en un lloc de filtracions de la internet fosca i rebien amenaces de publicació de les dades sostretes si no pagaven el rescat exigit. Quan la víctima no pagava, els arxius podien posar-se a disposició per a la seva descàrrega gratuïta. Els investigadors atribueixen als sospitosos diferents comeses, entre elles les d'administrador, desenvolupador, negociador i afiliat.

Contra servidors

L'actuació policial s'ha dirigit tant contra les persones que presumptament integraven KillSec com contra els sistemes que utilitzaven per dur a terme les seves activitats. Les autoritats han practicat vuit escorcolls domiciliaris a Espanya, Grècia, Regne Unit i Romania, han efectuat tres detencions i han intervingut proves i actius. Cinc servidors centrals han quedat sota el control policial, incloent-hi infraestructures utilitzades presumptament per

gestionar les activitats del grup i emmagatzemar les dades sostretes a les víctimes. Les autoritats també han assumit el control de diversos dominis operats per l'organització de pirates informàtics i han redirigit els visitants a un avís oficial d'intervenció policial.

Els investigadors continuen examinant els dispositius i les dades intervingudes, alhora que rastregen els beneficis derivats de l'activitat criminal del grup, inclosos els actius en criptomonedes. Les proves obtingudes podrien permetre identificar noves víctimes, nous atacs i altres persones implicades, segons els investigadors.

¿Què és el ransomware?

Notícies relacionades

Els espanyols avancen l’hora de sopar: la meitat de les reserves als restaurants són abans de les nou del vespre

El Govern qüestiona la constitucionalitat de la llei catalana contra l’amiant

El ransomware és un tipus de malware o codi maliciós que bloqueja equips o impedeix l'accés a la informació, normalment mitjançant el seu xifratge, i exigeix un rescat per recuperar les dades o evitar-ne la destrucció o difusió. En modalitats de doble extorsió, els autors no només bloquegen la informació, sinó que també la sostreuen i amenacen de publicar-la per augmentar la pressió sobre la víctima. Aquest tipus d'amenaça pot aprofitar vulnerabilitats o accessos mal protegits i també propagar-se mitjançant tècniques d'enginyeria social, com enllaços o arxius adjunts maliciosos. El seu impacte pot comprometre informació sensible i afectar la continuïtat de l'activitat de les organitzacions, segons la policia.

La Joint Cybercrime Action Taskforce (J-CAT) ha coordinat a nivell policial les actuacions amb el suport del Centre Europeu contra la Ciberdelinqüència d'Europol. A nivell Judicial les investigacions han estat coordinades per Eurojust. Atès el volum d'informació confiscada, es continuen analitzant els dispositius i les dades intervingudes, rastrejant els possibles beneficis delictius i investigant altres integrants del grup criminal, per la qual cosa no es descarten noves actuacions.