Лидером вымогательской группы KillSec оказался 16-летний подросток

В рамках международной операции KillSwitch правоохранительные органы ликвидировали инфраструктуру вымогательской группировки KillSec, конфисковали ее сайт для «слива» данных и серверы, а также задержали трех подозреваемых. При этом предполагаемым администратором и главным оператором группы оказался 16-летний подросток.

Операция прошла в конце сентября 2026 года при участии правоохранителей из десяти стран мира, Европола и Евроюста, а также специалистов ИБ-компаний Bitdefender и Group-IB. Подозреваемых задержали в Испании, Румынии и Великобритании, и суммарно полиция провела восемь обысков в этих странах, а также на территории Греции. В Испании при обысках изъяли компьютерную технику, телефоны и криптовалютные кошельки, где уже выявили транзакции, соответствующие выплатам выкупа жертвами KillSec.

Предполагаемого администратора-подростка задержали в испанской провинции Аликанте. Кроме того, по данным следствия, еще один участник группы, выполнявший роль разработчика, в августе 2026 года отметил 18-летие. То есть на момент совершения части предполагаемых преступлений он тоже являлся несовершеннолетним. Сообщается, что его уже удалось идентифицировать, однако арест пока не произведен. Также следователи заявляют, что установили личности предполагаемых переговорщика и «партнера» хак-группы.

В рамках операции полиция перехватила управление даркнет-сайтом KillSec и пятью ключевыми серверами, включая основной сервер группы и системы, использовавшиеся для хранения похищенной информации. Правоохранители подчеркивают, что «защитили от дальнейшего несанкционированного доступа» не менее 110 Тбайт данных жертв.

В общей сложности расследование властей охватило около 1000 атак KillSec по всему миру. Хотя пока официально подтверждено только порядка 500 взломов, эта цифра может измениться по мере анализа изъятых у хакеров данных.

Следователи сообщают, что для получения первоначального доступа участники группировки эксплуатировали уязвимости и атаковали плохо защищенные точки входа (в частности, облачные хранилища), а также покупали учетные данные у брокеров доступа в даркнете. Затем члены KillSec похищали внутренние данные организаций и требовали выкуп, в противном случае угрожая опубликовать или продать информацию. Причем в некоторых случаях файлы жертв, отказавшихся платить, действительно выкладывали в открытый доступ.

Помимо этого следователи выяснили, что участники KillSec использовали ИИ для создания и поддержки своей инфраструктуры, а также поиска потенциальных жертв. Однако подробности использования таких инструментов пока не раскрываются.

Известно, что один из задержанных — гражданин Нидерландов Фуад Эльтибризи (Fouad Eltibrizi), известный под ником Archduke и проживавший в Великобритании. Американские власти уже предъявили ему обвинения, а прокуратура Пуэрто-Рико запросила его экстрадицию.

В настоящее время следователи изучают конфискованные у хакеров устройства и серверы, а также пытаются отследить доходы KillSec, в том числе криптовалютные. Правоохранители ожидают, что собранные данные помогут выявить новых жертв, эпизоды атак и выйти на других участников группировки.