Lo esencial en breve<\/p>\n
- \n
- La Oficina Regional de Investigaci\u00f3n Criminal de Hamburgo desactiv\u00f3 cinco servidores de KillSec y se incaut\u00f3 de cinco dominios; tres sospechosos fueron detenidos provisionalmente.<\/strong> <\/li>\n
- Los investigadores atribuyen a KillSec unos 1.000 ataques, al menos 70 de ellos relacionados con Alemania.<\/strong> <\/li>\n
- KillSec acced\u00eda mediante vulnerabilidades de software y accesos mal protegidos, sobre todo al almacenamiento en la nube.<\/strong> <\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/strong> BKA persigue al l\u00edder de REvil tras 130 ataques contra objetivos alemanes<\/a> \u00b7 S\u00fcdwestfalen-IT: la lecci\u00f3n de la TI municipal<\/a><\/p>\n
Un adolescente al frente<\/h2>\n
Los al menos 110 terabytes proceden de ataques anteriores del grupo y ahora han quedado fuera de cualquier acceso posterior. Europol<\/a> se\u00f1al\u00f3 al joven de 16 a\u00f1os como presunto operador principal el 1 de octubre de 2026.<\/p>\n
Las autoridades detuvieron provisionalmente a tres sospechosos y realizaron ocho registros en Grecia, Ruman\u00eda, Espa\u00f1a y el Reino Unido. Los investigadores atribuyen a los sospechosos los papeles de administrador, desarrollador, negociador y afiliado. Un presunto desarrollador cumpli\u00f3 18 a\u00f1os en agosto de 2026 y a\u00fan era menor de edad cuando ocurrieron algunos de los hechos que se le imputan. Contin\u00faan las investigaciones sobre otros posibles miembros.<\/p>\n
La Oficina Regional de Investigaci\u00f3n Criminal de Hamburgo y la Fiscal\u00eda de Hamburgo dirigieron la operaci\u00f3n KillSwitch. Participaron autoridades de B\u00e9lgica, Finlandia, Alemania, Grecia, Pa\u00edses Bajos, Ruman\u00eda, Espa\u00f1a, Suiza, Reino Unido y Estados Unidos. Europol y Eurojust coordinaron la operaci\u00f3n, con el apoyo de las empresas de ciberseguridad Bitdefender y Group-IB. Las investigaciones hab\u00edan comenzado en varios pa\u00edses a principios de 2025.<\/p>\n
\u00bfQu\u00e9 es el ransomware como servicio?<\/h2>\n
\u00bfQu\u00e9 es el ransomware como servicio?<\/strong> El ransomware como servicio (RaaS) es un modelo de negocio en el que un grupo alquila su software de extorsi\u00f3n y su infraestructura a los llamados afiliados. Los afiliados ejecutan los ataques y entregan a los operadores una parte del rescate; en KillSec 2.0 era del 12 por ciento.<\/p>\n
Unos 1.000 ataques, 70 relacionados con Alemania<\/h2>\n
La Oficina Regional de Investigaci\u00f3n Criminal de Hamburgo desactiv\u00f3 cinco servidores de KillSec, entre ellos el servidor principal y varios de exfiltraci\u00f3n. Se incaut\u00f3 de cinco dominios del grupo y coloc\u00f3 en ellos un aviso de incautaci\u00f3n. Tambi\u00e9n puso en marcha un sitio web dedicado a la operaci\u00f3n. Los investigadores atribuyen a KillSec unos 1.000 presuntos ataques en todo el mundo; hasta ahora se han identificado como exitosos unos 500. Al menos 70 casos est\u00e1n relacionados con Alemania, y los investigadores de Hamburgo disponen de informaci\u00f3n sobre 18 de ellos. Europol y los investigadores de Hamburgo advierten de que estas cifras todav\u00eda pueden cambiar al analizar las pruebas.<\/p>\n
\n\nunos 1.000<\/div>\npresuntos ataques en todo el mundo, estado de la investigaci\u00f3n a 1 de octubre de 2026 (Europol)<\/p>\n<\/div>\n
\nal menos 70<\/div>\ncasos relacionados con Alemania, incluidos 18 sobre los que los investigadores de Hamburgo tienen informaci\u00f3n (Europol)<\/p>\n<\/div>\n
\n110 TB<\/div>\nde datos robados asegurados en el sitio de filtraciones (Europol)<\/p>\n<\/div>\n<\/div>\n
Group-IB<\/a> vigil\u00f3 el sitio de filtraciones y los canales p\u00fablicos de Telegram del grupo. All\u00ed figuraban 274 organizaciones como v\u00edctimas. Alrededor del 35 por ciento estaban en Estados Unidos, el 17 por ciento en India y el 14 por ciento en Europa. Los sectores m\u00e1s afectados eran los servicios financieros y la sanidad. Group-IB cont\u00f3 274 v\u00edctimas identificadas p\u00fablicamente en el sitio de filtraciones, mientras que los investigadores estiman unos 500 ataques exitosos.<\/p>\n
Un modelo de negocio con lista de precios<\/h2>\n
Seg\u00fan los hallazgos de los investigadores, KillSec lleva activo desde aproximadamente 2024. En su sitio de filtraciones en la darknet, el grupo amenazaba a las organizaciones afectadas con publicar los datos sustra\u00eddos. Si no pagaban, KillSec pod\u00eda poner sus archivos a disposici\u00f3n para su descarga gratuita. En algunos casos, el grupo cobr\u00f3 rescates cuantiosos.<\/p>\n
KillSec tambi\u00e9n vend\u00eda datos robados a precio fijo. Group-IB cita precios de unos 4.400 euros por los conjuntos de datos de una sola empresa. Por datos que el grupo afirmaba haber robado a una aseguradora global, exig\u00eda unos 440.000 euros.<\/p>\n
Al mismo tiempo, KillSec desarroll\u00f3 un modelo de colaboraci\u00f3n. En octubre de 2024, Group-IB analiz\u00f3 la plataforma de afiliados KillSec 2.0: el acceso costaba unos 220 euros, m\u00e1s una participaci\u00f3n del 12 por ciento en el rescate. En noviembre de 2024, el grupo anunci\u00f3 un programa de bloqueo para hosts VMware ESXi. Apaga las m\u00e1quinas virtuales, elimina las instant\u00e1neas y borra los registros. En enero de 2025, KillSec buscaba especialistas en pruebas de penetraci\u00f3n y les exig\u00eda un dep\u00f3sito de unos 880 euros o reputaci\u00f3n en un foro, adem\u00e1s de una participaci\u00f3n del 20 por ciento en el rescate.<\/p>\n
La v\u00eda de entrada: accesos expuestos en la nube<\/h2>\n
Para los responsables de seguridad, lo m\u00e1s importante es la v\u00eda de entrada. KillSec se introduc\u00eda en los sistemas mediante vulnerabilidades de software y puntos de acceso insuficientemente protegidos, sobre todo al almacenamiento en la nube. Seg\u00fan Europol, el grupo utilizaba inteligencia artificial para crear y operar su infraestructura e identificar a posibles v\u00edctimas.<\/p>\n
Group-IB recomienda cinco medidas. Ante el programa de bloqueo de ESXi, que elimina las instant\u00e1neas, proteger las copias de seguridad y la virtualizaci\u00f3n resulta especialmente importante.<\/p>\n
\nCinco medidas recomendadas por Group-IB<\/p>\n
- \n
- \u2713<\/span>Mantener un inventario actualizado de todos los activos expuestos a Internet, incluidos el almacenamiento en la nube y los accesos remotos.<\/li>\n
- \u2713<\/span>Proteger el acceso remoto con autenticaci\u00f3n multifactor.<\/li>\n
- \u2713<\/span>Aplicar primero los parches de las vulnerabilidades que ya se est\u00e1n explotando activamente.<\/li>\n
- \u2713<\/span>Mantener las copias de seguridad fuera de l\u00ednea e inmutables, y proteger especialmente las plataformas de virtualizaci\u00f3n.<\/li>\n
- \u2713<\/span>Vigilar los sitios de filtraciones y los mercados clandestinos.<\/li>\n<\/ul>\n<\/div>\n
Por qu\u00e9 importan las detenciones<\/h2>\n
Dmitry Volkov, director ejecutivo de Group-IB, valora el \u00e9xito principalmente por la identificaci\u00f3n de los autores. Los servidores pueden sustituirse en cuesti\u00f3n de semanas, explic\u00f3. Solo identificar a quienes desarrollan la plataforma y autorizan cada ataque convierte el desmantelamiento de una pausa en un final. La operaci\u00f3n KillSwitch actu\u00f3 en ambos frentes: los investigadores desactivaron cinco servidores, se incautaron de los dominios e identificaron a la vez a sospechosos en la administraci\u00f3n, el desarrollo, la negociaci\u00f3n y el negocio de los afiliados. El alcance del efecto duradero sobre el grupo depende de las investigaciones en curso sobre otros miembros.<\/p>\n
Preguntas frecuentes<\/h2>\n
Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n
\n\u00bfQui\u00e9n est\u00e1 detr\u00e1s de KillSec?<\/strong><\/summary>\n
Los investigadores identificaron a un joven de 16 a\u00f1os como presunto operador principal. A otros sospechosos les atribuyen los papeles de administrador, desarrollador, negociador y afiliado. Tres sospechosos fueron detenidos provisionalmente; contin\u00faan las investigaciones sobre otros posibles miembros.<\/p>\n<\/details>\n
\n\u00bfCu\u00e1ntas empresas en Alemania est\u00e1n afectadas?<\/strong><\/summary>\n
Seg\u00fan el estado de la investigaci\u00f3n a 1 de octubre de 2026, al menos 70 de los aproximadamente 1.000 presuntos ataques est\u00e1n relacionados con Alemania. Los investigadores de Hamburgo disponen de informaci\u00f3n sobre 18 casos. Las cifras pueden cambiar al continuar el an\u00e1lisis.<\/p>\n<\/details>\n
\n\u00bfC\u00f3mo acced\u00eda KillSec a los sistemas de las v\u00edctimas?<\/strong><\/summary>\n
El grupo utilizaba vulnerabilidades de software y puntos de acceso insuficientemente protegidos, sobre todo al almacenamiento en la nube. Por ello, Group-IB recomienda mantener actualizado el inventario de activos expuestos a Internet, utilizar autenticaci\u00f3n multifactor para el acceso remoto, priorizar los parches y conservar copias de seguridad fuera de l\u00ednea e inmutables.<\/p>\n<\/details>\n
<\/p>\n
Selecci\u00f3n editorial<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/09\/screenconnect-client-fuehrt-dateien-ohne-host-ok-aus-cover-hero-250x140.jpg\")
<\/span>Recomendado<\/span>ScreenConnect: el cliente ejecuta archivos sin permiso<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/09\/it-ausfall-ueben-bevor-niemand-mehr-entscheidet-cover-hero-250x143.png\")
<\/span>Recomendado<\/span>Ensayar la ca\u00edda de TI antes de que ya nadie pueda decidir<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/sma-hotfix-reicht-nicht-sieben-checks-cover-hero-250x143.jpg\")
<\/span>Recomendado<\/span>Hotfix de SMA no es suficiente: siete comprobaciones<\/span><\/span><\/a><\/p>\nM\u00e1s de la red MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/10\/net-aws-laesst-bei-stoerungen-einen-ki-agent-38991680.jpg\")
<\/span>cloudmagazin<\/span>AWS deja que un agente de IA busque junto al equipo en las incidencias<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/10\/net-ki-ausgaben-steigen-skaliert-hat-nur-jed-3763679-250x141.jpg\")
<\/span>Digital Chiefs<\/span>El gasto en IA sube, solo una de cada cinco escala<\/span><\/span><\/a><\/p>\nFuente de la imagen: generada por IA (octubre de 2026)<\/p>\n","protected":false},"excerpt":{"rendered":"Los investigadores desmantelaron KillSec. Su presunto l\u00edder tiene 16 a\u00f1os; sol\u00edan entrar por el almacenamiento en la nube.","protected":false},"author":50,"featured_media":24465,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"KillSec","_yoast_wpseo_title":"KillSec desmantelado: un joven de 16 a\u00f1os como presunto l\u00edder","_yoast_wpseo_metadesc":"Los investigadores desmantelaron KillSec. Su presunto l\u00edder tiene 16 a\u00f1os; sol\u00edan entrar por el almacenamiento en la nube.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"es","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[253],"tags":[],"class_list":["post-24568","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-actualidad"],"evm_reading_time_minutes":8,"wpml_language":"es","wpml_translation_of":24463,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/24568","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=24568"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/24568\/revisions"}],"predecessor-version":[{"id":24569,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/24568\/revisions\/24569"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/24465"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=24568"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=24568"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=24568"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
- \u2713<\/span>Proteger el acceso remoto con autenticaci\u00f3n multifactor.<\/li>\n
- Los investigadores atribuyen a KillSec unos 1.000 ataques, al menos 70 de ellos relacionados con Alemania.<\/strong> <\/li>\n