La UCO arresta a un adolescente de 16 años como presunto líder de KillSec, responsable de mil ciberataques

El 30 de septiembre, día de la acción conjunta, hubo ocho registros y tres detenciones en España, Grecia, Reino Unido y Rumanía. Las autoridades tomaron el control de la web de filtraciones del grupo, de cinco servidores centrales y de varios dominios, los cuales han pasado a mostrar un aviso policial, y se hicieron con al menos 110 terabytes de datos robados.

Los otros dos detenidos son dos hombres de veintitantos años, uno en Reino Unido y otro en Rumanía, y Puerto Rico ha pedido la extradición del arrestado en Reino Unido. El desarrollador que acaba de cumplir la mayoría de edad ha sido identificado, aunque no ha sido detenido.

KillSec: un ransomware de alquiler por 250 dólares

Aunque la edad del presunto líder es realmente llamativa, el negocio que montó el grupo también lo es. Según la empresa de ciberseguridad Group-IB, que colaboró en la investigación, KillSec alquilaba su ransomware a terceros: cualquier afiliado podía hacerse con la versión para Windows con un pago de entrada de 250 dólares (unos 221 euros al cambio del 1 de octubre de 2026) y cediendo al grupo el 12 % de cada rescate, una comisión que en enero de 2025 ya había subido al 20 %. Eso sí, ningún afiliado podía generar su propia versión del malware sin el permiso de los administradores.

Su primer mensaje en Telegram es de octubre de 2023, cuando buscaba perfiles de intrusión y de creación de malware, y fue en junio de 2024 cuando lanzó el programa de afiliados, con un panel de control accesible a través de Tor.

Los productos que ofrecía fueron creciendo poco a poco. En noviembre de 2024 llegó una versión para servidores VMware ESXi capaz de apagar las máquinas virtuales y eliminar sus instantáneas. Además, el grupo vendía directamente los datos robados, con precios de entre 5.000 y 500.000 dólares. Group-IB contó 274 organizaciones expuestas en su web de filtraciones, sobre todo de Estados Unidos (un 35 %) e India (un 17 %), con el sector financiero y el sanitario como los más castigados. Europa significaba un 14 %.

Para entrar, los atacantes aprovechaban vulnerabilidades de software y accesos mal protegidos, especialmente en servicios de almacenamiento en la nube. Copiaban la información interna a sus servidores y publicaban a la víctima en una web de la dark web, con la amenaza de que, si no pagaba el rescate, los datos quedarían disponibles para su descarga gratuita.

“Los servidores se pueden reemplazar en semanas; las personas que construyen la plataforma y aprueban cada ataque, no”, señaló el consejero delegado de Group-IB, Dmitry Volkov.

¿Qué consecuencias puede tener para un menor de 16 años?

Por su edad, el caso se rige por la Ley Orgánica 5/2000 de responsabilidad penal del menor, que se aplica a personas de entre 14 y 18 años. Para quien tenía 16 o 17 años cuando cometió los hechos, la medida puede durar como máximo seis años. Si el juez califica los hechos de extrema gravedad, debe imponer un internamiento en régimen cerrado de uno a seis años, seguido de hasta cinco años de libertad vigilada.

En marzo de 2022, la policía de Londres detuvo a siete jóvenes de entre 16 y 21 años relacionados con Lapsus$, el grupo que había atacado a Microsoft, Nvidia y Samsung. Aquella vez quedaron en libertad sin cargos, pero el caso no terminó ahí: en diciembre de 2023, un tribunal de Londres ordenó internar indefinidamente en un hospital a Arion Kurtaj, de 18 años, y a otro miembro de 17 años le impuso una medida de rehabilitación juvenil de 17 meses.

Precauciones para las empresas que guardan datos en la nube

Bitdefender, otra de las empresas que participó en la operación, ha dado algunas recomendaciones. La primera, parchear antes que nada el software expuesto a internet, porque es lo que escanean los atacantes. La segunda, revisar quién tiene acceso a los servicios de almacenamiento en la nube.

Sobre todo, los espacios que ya no gestiona nadie: los que quedaron tras terminar un proyecto, los heredados de una compra de otra empresa o las pruebas que se dejaron abiertas.

Y si el ataque ya se ha producido, el Instituto Nacional de Ciberseguridad (INCIBE) aconseja no pagar el rescate y contactar con el 017, su línea gratuita de ayuda en ciberseguridad, también disponible por WhatsApp en el 900 116 117.

Para los archivos cifrados existe el portal No More Ransom, puesto en marcha en 2016 por Europol y la policía neerlandesa, con una herramienta llamada Crypto Sheriff que identifica el tipo de ransomware a partir de dos archivos cifrados y la nota de rescate, y busca si hay un descifrador gratuito.

La Guardia Civil continúa analizando los dispositivos y los datos intervenidos, así como rastreando las criptomonedas del grupo. Los investigadores no descartan nuevas actuaciones.

Imágenes | Guardia Civil con edición