في عملية أمنية معقدة، اعتقلت الشرطة الإسبانية شابًا يبلغ من العمر 16 عامًا يُشتبه في إدارته لمجموعة ransomware المعروفة باسم KillSec، التي تُتهم بسرقة بيانات من منظمات وابتزازها.
اعتقال شرطة إسبانيا لمشتبه به يبلغ من العمر 16 عامًا في إدارة مجموعة KillSec
اعتقلت الشرطة في إسبانيا شابًا يبلغ من العمر 16 عامًا يُشتبه في إدارته لمجموعة ransomware المعروفة باسم KillSec. تُتهم المجموعة بسرقة بيانات من منظمات وتهديدها بنشرها على موقع التسريب الخاص بها ما لم يتم دفع فدية.
كان الشاب واحدًا من ثلاثة أشخاص تم اعتقالهم في 30 سبتمبر، حيث استولت الشرطة أيضًا على ذلك الموقع.
حددت التحقيقات الشاب كالمسؤول المشتبه به عن KillSec والمشغل الرئيسي، وفقًا لما ذكرته شرطة هامبورغ في 1 أكتوبر. قادت العملية شرطة الادعاء في هامبورغ، ألمانيا.
احتجزته Guardia Civil وMossos d’Esquadra، وهما قوتان شرطيان إسبانيتان، في أليكانتي وقاموا بتفتيش منزل ومكتب في فندق بالمقاطعة. وذكرت بيانهما المشترك، الذي نشرته elperiodic.com، أنه يُعتبر أحد مديري المجموعة والمشرف الرئيسي المشتبه به.
الشخصان الآخران المعتقلان في العشرينيات من عمرهما، أحدهما في المملكة المتحدة والآخر في رومانيا، وفقًا لما ذكره متحدث باسم يوروبول، الوكالة الشرطية للاتحاد الأوروبي، لوكالة رويترز.
شارك المدعون الأمريكيون في بورتو ريكو ومكتب مكتب التحقيقات الفيدرالي في سان خوان في العملية. وقد قدمت بورتو ريكو طلب تسليم للمعتقل في المملكة المتحدة، وفقًا لما ذكره المتحدث باسم يوروبول.
في رومانيا، احتجز المدعون من DIICOT، المديرية الوطنية لمكافحة الجريمة المنظمة والإرهاب، شابًا يبلغ من العمر 24 عامًا في 30 سبتمبر وقاموا بتفتيش أربعة منازل في بوخارست ومقاطعة فاسلوي. يتم التحقيق معه بتهمة تشكيل مجموعة إجرامية منظمة، والوصول غير القانوني إلى نظام كمبيوتر، ونقل بيانات كمبيوتر غير مصرح بها، والعمليات غير القانونية مع الأجهزة أو البرمجيات، والابتزاز، وفقًا لبيان DIICOT الذي نشرته صحيفة Bursa.
في 1 أكتوبر، طلب المدعون من محكمة بوخارست احتجازه لمدة 30 يومًا. يُعتبر بريئًا حتى تثبت إدانته. وصفت شرطة هامبورغ جميع الاعتقالات الثلاثة بأنها مؤقتة.
حددت التحقيقات المشتبه بهم في أربعة أدوار: مسؤول، مطور، مفاوض، وشريك. الشريك هو شريك خارجي يستخدم أدوات ransomware الخاصة بالمجموعة لتنفيذ الهجمات.
المطور المشتبه به بلغ من العمر 18 عامًا في أغسطس وكان قاصرًا عندما وقعت بعض الجرائم المزعومة. تم تحديد هويته ولكن لم يتم اعتقاله، وفقًا لما ذكرته رويترز.
لم توضح شرطة هامبورغ أو DIICOT في بياناتهما الأدوار المشتبه بها للأشخاص المعتقلين في المملكة المتحدة ورومانيا.
نفذت الشرطة ثمانية عمليات تفتيش في إسبانيا واليونان والمملكة المتحدة ورومانيا. وتم تأمين ما لا يقل عن 110 تيرابايت من البيانات ضد الوصول غير المصرح به عندما استولت على موقع التسريب.
خلال التحقيق، أغلقت شرطة هامبورغ أيضًا خمسة خوادم، بما في ذلك الخادم الرئيسي لـ KillSec وعدد من الخوادم المستخدمة لتخزين البيانات المسروقة من الضحايا. وضعت إشعار مصادرة شرطة على خمسة من مجالات المجموعة.
في إسبانيا، صادرت الشرطة معدات كمبيوتر وهواتف ومحافظ عملات مشفرة. وجدت التحليلات الأولية معاملات تتطابق مع مدفوعات الفدية من بعض الضحايا، وفقًا لما ذكرته الشرطة الإسبانية.
بدأت تحقيقات Guardia Civil في عام 2025 من خلال التعاون مع مكتب مكتب التحقيقات الفيدرالي في سان خوان، بورتو ريكو، بهدف العثور على أشخاص مرتبطين بـ KillSec قد يعيشون في إسبانيا. بدءًا من صورة شخصية واحدة، تمكنت تحقيقاتهم من تحديد المشتبه به، الذي كان يعيش في مقاطعة أليكانتي.
افتتحت Mossos d’Esquadra قضيتها الخاصة بعد هجوم على منظمة كتالونية في أوائل عام 2025 التي يُشتبه في أنها كانت من عمل KillSec. وقد تم تقدير الأضرار بحوالي مليون يورو.
بدأت السلطات في عدة دول التحقيق في الهجمات التي يُنسب إليها الفضل في KillSec في أوائل عام 2025. قامت يوروبول ووكالة التعاون القضائي للاتحاد الأوروبي، يوروجست، بتنسيق العمل، ودعمت شركات الأمن Bitdefender وGroup-IB التحقيق.
كيف قامت KillSec بابتزاز ضحاياها
استفادت KillSec من نقاط ضعف البرمجيات ونقاط الوصول غير المؤمنة، خاصةً التخزين السحابي، وفقًا لشرطة هامبورغ. ثم قام أعضاؤها بنسخ بيانات داخلية حساسة إلى خوادم تحت سيطرتهم.
أطلقوا أسماء ضحاياهم على موقع التسريب الخاص بهم في الويب المظلم وهددوا بنشر بياناتهم ما لم يتم دفع فدية. حيث لم يدفع الضحية، يمكن أن تُعرض الملفات المسروقة للتنزيل المجاني.
يغطي التحقيق حوالي 1000 هجوم مشبوه على مستوى العالم. تم تحديد حوالي 500 منها على أنها ناجحة حتى الآن، وقد تتغير كلا الرقمين مع استمرار المحققين في العمل على الأدلة المصادرة.
كما اكتشف المحققون كيف استخدمت المجموعة الذكاء الاصطناعي لبناء وتشغيل بنيتها التحتية وتحديد الضحايا المحتملين، وفقًا لشرطة هامبورغ. لم تقدم بيانهم مزيدًا من التفاصيل.
قال المدعون من DIICOT إن الأعضاء اشتروا أيضًا بيانات اعتماد وصول معروضة للبيع على الويب المظلم، وأرسلوا للضحايا عينات من بياناتهم كدليل، وهددوا ببيع البيانات لمجموعات إجرامية أخرى إذا لم يتم دفع الفدية.
قدرت الشرطة الإسبانية عدد الضحايا بأكثر من 280. وقد قالت يوروبول في بيان نقلته رويترز إن المجموعة “حققت مدفوعات فدية كبيرة”.
تصف الوكالات KillSec كمجموعة ransomware، لكن السلوك الذي يصفونه هو سرقة البيانات والابتزاز.
أفادت شركة الأمن Rapid7 في عام 2025 أن KillSec بدأت كمجموعة هاكر نشطة منذ عام 2021 على الأقل، وتحولت إلى ransomware في أكتوبر 2023. تم تصميم ransomware الخاص بهم، KillSecurity 2.0 و3.0، لتشفير الملفات، على الرغم من أنه في بعض الحوادث، ابتزت المجموعة الضحايا باستخدام البيانات المسروقة فقط. في يونيو 2024، بدأت في تقديم ransomware للشركاء، وهو نموذج معروف باسم ransomware-as-a-service.
ما الذي لا يزال مفتوحًا
قالت يوروجست إن السلطات المشاركة “أغلقت بنجاح مجموعة ransomware” وستواصل الآن تحقيقاتها. قالت شرطة هامبورغ إن الاستفسارات حول الأعضاء المحتملين الآخرين مستمرة.
يتم فحص الأجهزة والبيانات المصادرة وتتبع أموال المجموعة، بما في ذلك العملات المشفرة. قد تحدد الأدلة المزيد من الضحايا والهجمات والمشتبه بهم.
تستمر التحقيقات في هذه القضية المعقدة، حيث تسعى السلطات لتحديد المزيد من المشتبه بهم والضحايا المحتملين، مما يسلط الضوء على التحديات المتزايدة في مكافحة الجرائم الإلكترونية.
