Međunarodna akcija protiv KillSeca: uhapšene tri osumnjičene osobe
Policija u Španiji uhapsila je 16-godišnjaka osumnjičenog da je bio glavni operater ransomware grupe KillSec, dok su u istoj međunarodnoj akciji 30. septembra privedene još dve osobe, u Ujedinjenom Kraljevstvu i Rumuniji. Istražitelji su preuzeli KillSecov sajt za objavu ukradenih podataka, ugasili pet servera i obezbedili najmanje 110 terabajta podataka od daljeg neovlašćenog pristupa.
Operaciju su vodili policija i tužilaštvo iz Hamburga, uz učešće španskih službi Guardia Civil i Mossos d'Esquadra, Europola, Eurojusta, FBI kancelarije u San Huanu i tužilaca iz Portorika. U istrazi su podršku pružile kompanije Bitdefender i Group-IB.
Zaplenjena infrastruktura i istraga u više zemalja
Policija je sprovela osam pretresa u Španiji, Grčkoj, Ujedinjenom Kraljevstvu i Rumuniji. Na pet domena grupe postavljeno je policijsko obaveštenje o zapleni. U Španiji su zaplenjeni računarska oprema, telefoni i novčanici za kriptovalute, a prva analiza ukazala je na transakcije koje odgovaraju otkupninama nekih žrtava.
Španske vlasti identifikovale su osumnjičenog iz provincije Alikante počevši od jedne profilne slike, u istrazi pokrenutoj 2025. uz saradnju sa FBI kancelarijom u San Huanu. Mossos d'Esquadra je zasebno otvorio predmet nakon napada na organizaciju u Kataloniji početkom 2025, za koji se sumnja da ga je izveo KillSec. Šteta u tom slučaju procenjena je na blizu milion evra.
Rumunski DIICOT je pritvorio 24-godišnjaka i pretražio četiri lokacije u Bukureštu i okrugu Vaslui. Protiv njega se vodi istraga zbog više dela, uključujući udruživanje u organizovanu kriminalnu grupu, neovlašćeni pristup računarskom sistemu, neovlašćeni prenos podataka i ucenu. Policija u Hamburgu sva tri hapšenja opisuje kao privremena, a istraga o drugim mogućim članovima se nastavlja.
Model krađe podataka i ucene
Istražitelji su identifikovali četiri uloge u grupi: administratora, programera, pregovarača i saradnika. Saradnik je spoljni partner koji koristi alate grupe za izvođenje napada. Identifikovan je i osumnjičeni programer, koji je napunio 18 godina u avgustu, ali nije uhapšen.
Prema policiji iz Hamburga, KillSec je ulazio u organizacije iskorišćavanjem ranjivosti softvera i loše zaštićenih pristupnih tačaka, posebno skladišta u oblaku. Zatim su članovi grupe kopirali osetljive interne podatke na servere pod svojom kontrolom, objavljivali imena žrtava na sajtu u mračnoj mreži i pretili objavljivanjem podataka ako otkupnina ne bude plaćena.
DIICOT navodi da su pripadnici grupe kupovali pristupne podatke ponuđene na mračnoj mreži, slali žrtvama uzorke ukradenih podataka kao dokaz i pretili prodajom tih podataka drugim kriminalnim grupama. Istraga obuhvata oko 1.000 sumnjivih napada širom sveta, pri čemu je približno 500 do sada označeno kao uspešno. Brojevi se mogu menjati tokom obrade zaplenjenih dokaza.
Poslovna pouka: zaštita pristupa i spremnost na krađu podataka
Policija je navela i da je grupa koristila AI za izgradnju i rad infrastrukture, kao i za identifikovanje potencijalnih žrtava, bez dodatnih javnih tehničkih detalja. Bez obzira na to da li napadači šifruju fajlove ili prete objavljivanjem kopiranih podataka, posledice počinju kompromitovanim pristupom i nedovoljnom kontrolom nad podacima.
Za organizacije je praktičan zaključak da uz redovno otklanjanje ranjivosti moraju zaštititi pristupne tačke, naročito cloud skladišta, ograničiti privilegije, pratiti neuobičajeno preuzimanje podataka i imati uvežban odgovor na ucenu. Zaplena infrastrukture može prekinuti rad grupe, ali zaštita poslovanja zavisi od pravovremenog otkrivanja krađe podataka i kontrole pristupa.