La operación, llamada KillSwitch y llevada a cabo por fuerzas de seguridad de diez países, se saldó con tres detenidos provisionales y el registro de ocho propiedades en Grecia, Rumanía, España y el Reino Unido, informó este jueves Europol.
El grupo habría llevado a cabo más de 1.000 ciberataques en todo el mundo, de los cuales unos 500 habrían tenido éxito con más de 280 víctimas. Algunas habrían abonado rescates de alrededor de 500.000 euros en criptomonedas.
KillSec, activo desde aproximadamente 2024, accedía a sistemas de organizaciones mediante la explotación de vulnerabilidades, especialmente en entornos de almacenamiento en la nube, y sus integrantes copiaban la información interna sensible y la trasladaban a infraestructura bajo su control.
Identificaban a las víctimas en un sitio de filtraciones de la 'darkweb' (internet oscura) y estas recibían amenazas de publicación de los datos sustraídos si no pagaban los rescates exigidos. Cuando la víctima no pagaba, los archivos podían ponerse a disposición para su descarga gratuita.
Según informó a su vez la Guardia Civil española en un comunicado, la investigación, denominada en España Operación ROTOMA, se inició en 2025 a partir de la colaboración policial con el FBI de San Juan (Puerto Rico), orientada a identificar a personas relacionadas con KillSec que pudieran residir en España.
Por su parte, los Mossos d'Esquadra (policía catalana) comenzaron su investigación a raíz de un ciberataque, presuntamente de KillSec, contra una entidad catalana en 2025 en la que los atacantes habrían accedido a los sistemas de la empresa, sustraído información sensible e intentado extorsionarla, con un perjuicio económico cercano al millón de euros.
El equipo conjunto de investigación de ambos cuerpos permitió coordinar las pesquisas, identificar al sospechoso, ubicar su residencia en la provincia de Alicante y determinar tanto su rol como principal administrador del grupo como su posible participación en el ataque de Cataluña.
Con la operación desarrollada ayer en España, en la que se practicaron dos entradas y registros, en un domicilio y una oficina de un establecimiento hotelero de la provincia de Alicante, las autoridades policiales y judiciales tomaron el control de la infraestructura de este grupo, incluyendo su página de filtraciones.
Además, se aseguraron al menos 110 terabytes de datos, se pusieron bajo control policial cinco servidores centrales, se intervinieron dominios utilizados por el grupo y se actuó sobre evidencias, activos y posibles beneficios delictivos, incluidas criptomonedas.
Los investigadores continúan examinando los dispositivos y los datos intervenidos, a la vez que rastrean los beneficios derivados de la actividad criminal del grupo, incluidos los activos en criptomonedas. Las pruebas obtenidas podrían permitir identificar nuevas víctimas, nuevos ataques y otras personas implicadas.