Detenido en Alicante un menor de 16 años acusado de liderar KillSec, la red tras más de 1.000 ciberataques
La pantalla se cerró sobre una red que llevaba años operando entre servidores, cuentas cifradas y amenazas de filtración. Un menor de 16 años fue detenido en la provincia de Alicante por su presunto papel como principal administrador de KillSec, un grupo vinculado a ataques contra organizaciones de distintos países.
La investigación sitúa al adolescente, de nacionalidad rumana, en La Romana, en el interior de Alicante. La detención no se presenta como un episodio aislado: forma parte de un operativo que reunió a unidades españolas y a autoridades internacionales para golpear la infraestructura del grupo.
En España se practicaron dos entradas y registros, uno en un domicilio y otro en una oficina de un establecimiento hotelero de la provincia. Los agentes intervinieron equipos informáticos, teléfonos, carteras de criptoactivos y herramientas de anonimización y cifrado vinculadas a la actividad investigada.
KillSec estaba activo, al menos, desde 2024 y utilizaba un modelo de ransomware que convertía una intrusión técnica en una amenaza directa. El objetivo no era solo entrar en un sistema: también extraer información sensible y conservarla como una palanca de presión contra la víctima.
La red buscaba vulnerabilidades de software y accesos deficientemente protegidos, especialmente en servicios de almacenamiento en la nube. Una vez dentro, los datos internos eran copiados y trasladados a infraestructuras controladas por los presuntos atacantes, lejos de los sistemas comprometidos.
Después llegaba el mensaje que congelaba cualquier rutina: pagar o asumir la publicación de los archivos. Las víctimas recibían exigencias económicas y, si no accedían al rescate, la información sustraída podía acabar expuesta en el sitio de filtraciones manejado por la organización.
A KillSec se le atribuyen más de 1.000 ciberataques en todo el mundo. Unos 500 habrían tenido éxito y habrían dejado más de 280 víctimas; algunas realizaron pagos de rescate que, en conjunto, rondarían los 500.000 euros en criptomonedas, dentro de una investigación aún abierta.
La pista española comenzó a tomar forma en 2025 mediante la colaboración entre la Unidad Central Operativa de la Guardia Civil y el FBI de San Juan de Puerto Rico. El objetivo inicial era identificar a personas relacionadas con KillSec que pudieran encontrarse en territorio español.
Por otro lado, los Mossos d’Esquadra investigaban un ataque atribuido al grupo contra una entidad catalana. La intrusión habría permitido acceder a sistemas internos, sustraer información sensible e intentar una extorsión; el perjuicio económico asociado a aquel episodio se acercó al millón de euros.
La coordinación de ambas pesquisas permitió ubicar al sospechoso y atribuirle un presunto rol de administrador principal, además de su posible conexión con el ataque investigado en Cataluña. La operación española quedó integrada en KillSwitch, una respuesta internacional contra la estructura de KillSec.
El golpe no se limitó a una detención. Las autoridades tomaron el control de la página de filtraciones de la red, aseguraron al menos 110 terabytes de datos y pusieron bajo control policial cinco servidores centrales. También se intervinieron dominios, evidencias y activos vinculados a la trama.
La operación alcanzó varios países y sumó otros arrestos en Reino Unido y Rumanía, además de registros en España, Grecia, Rumanía y territorio británico. Europol y Eurojust participaron en una coordinación que reunió a cuerpos policiales y judiciales de Europa y Estados Unidos.
El análisis de los dispositivos y de las transacciones intervenidas continúa. Los investigadores han detectado indicios de pagos de rescate y rastrean posibles beneficios en criptomonedas, al tiempo que examinan los datos recuperados para identificar a nuevas víctimas, ataques y eventuales implicados.
La caída de la infraestructura corta una vía de amenaza, pero no borra el alcance de los datos que ya pudieron circular ni el daño causado por cada acceso. El menor permanece investigado por hechos presuntamente delictivos y el resultado judicial dependerá de las diligencias y de las pruebas reunidas.
