KillSec Guardia Civil: la UCO detiene en Alicante al presunto administrador de un ransomware con 280 víctimas. El arrestado tiene 16 años y operaba una plataforma de alquiler que cobraba 250 dólares por acceso y hasta un 20% de cada rescate, según los investigadores.
Claves de la operación
- Un negocio criminal de escala industrial. KillSec habría lanzado más de 1.000 ataques, con unos 500 exitosos y 280 víctimas; algunos rescates rondaron los 500.000 euros en criptomonedas.
- El precio de entrada era mínimo. La versión para Windows se alquilaba por 250 dólares y una comisión del 12% que luego subió al 20%, con panel de control en Tor y reglas impuestas por los administradores.
- La respuesta judicial aún está abierta. La operación KillSwitch, coordinada por Europol y Eurojust, dejó ocho registros y tres detenciones repartidas entre España, Grecia, Reino Unido y Rumanía; la Guardia Civil sigue analizando dispositivos y criptomonedas.
El ransomware como servicio ya tiene economías de escala
La operación Rotoma del Departamento de Cibercrimen de la UCO arrancó en 2025 a partir de una colaboración con la oficina del FBI en San Juan de Puerto Rico. Los Mossos d’Esquadra también investigaban un ataque contra Infraestructures.cat, con daños estimados en cerca de un millón de euros y sin rescate pagado, según la entidad. El cruce de pistas situó al menor en Alicante. La operación KillSwitch, coordinada por Europol y Eurojust, implicó a nueve países: Bélgica, Finlandia, Alemania, Grecia, Rumanía, España, Suiza, Reino Unido, y Estados Unidos.
Los números que maneja la UCO dibujan una estructura más profesional que adolescente. La UCO atribuye a KillSec más de 1.000 ataques y 280 víctimas. Algunas víctimas pagaron rescates de alrededor de 500.000 euros en criptomonedas, una cifra que sitúa al grupo en la liga de los operadores medianos del ecosistema criminal. Los investigadores le atribuyen cuatro papeles: administrador, desarrollador, negociador y afiliado.
Group-IB contabilizó 274 organizaciones expuestas en la web de filtraciones del grupo, con Estados Unidos (35%) e India (17%) como principales objetivos. El sector financiero y el sanitario fueron los más castigados; Europa representó un 14% de las víctimas. Estados Unidos e India concentraban la mayoría de las víctimas. Ese reparto geográfico explica por qué la operación necesitó nueve países y por qué España acabó en el centro de la investigación.
Un ransomware de 250 dólares que multiplica el daño
El negocio de KillSec era, sobre todo, un negocio de intermediación. Según Group-IB, cualquier afiliado podía alquilar la versión para Windows con un pago de entrada de 250 dólares (unos 221 euros al cambio del 1 de octubre de 2026) y cediendo al grupo el 12% de cada rescate. En enero de 2025 la comisión ya había subido al 20%. El afiliado pagaba 250 dólares y cedía hasta el 20% del rescate. Ningún afiliado podía generar su propia versión del malware sin permiso de los administradores.
El catálogo creció por fases. En junio de 2024 el grupo lanzó el programa de afiliados con un panel accesible desde Tor; en noviembre de 2024 añadió una versión para servidores VMware ESXi capaz de apagar máquinas virtuales y eliminar instantáneas. También vendía directamente los datos robados, con precios de entre 5.000 y 500.000 dólares. La versión para VMware ESXi amplió el catálogo criminal. La combinación de alquiler, extorsión y reventa convierte cada víctima en una fuente de ingresos recurrente.
El ransomware no se vuelve rentable por el código, sino por el reparto de tareas y de comisiones entre quienes atacan y quienes negocian.
El consejero delegado de Group-IB, Dmitry Volkov, resumió la lógica de la operación con una frase que también sirve para el mercado de la ciberseguridad: ‘Los servidores se pueden reemplazar en semanas; las personas que construyen la plataforma y aprueban cada ataque, no’. La cita, difundida por la empresa, apunta al verdadero cuello de botella del ransomware: el talento que coordina la infraestructura.
La edad no cierra el caso: ley, precedentes y negocio
La edad del detenido no cierra el caso; lo complica. La Ley Orgánica 5/2000 de responsabilidad penal del menor se aplica a personas de entre 14 y 18 años. Para quien tenía 16 o 17 años cuando cometió los hechos, la medida puede durar como máximo seis años. Si el juez califica los hechos de extrema gravedad, debe imponer un internamiento en régimen cerrado de uno a seis años, seguido de hasta cinco años de libertad vigilada. La Ley del Menor limita la respuesta penal a seis años.
El precedente de Lapsus$ ayuda a calibrar el terreno. En marzo de 2022, la policía de Londres detuvo a siete jóvenes de entre 16 y 21 años relacionados con el grupo que había atacado a Microsoft, Nvidia y Samsung. Quedaron en libertad sin cargos, pero en diciembre de 2023 un tribunal ordenó internar indefinidamente en un hospital a Arion Kurtaj, de 18 años, y a otro miembro de 17 años le impuso una medida de rehabilitación juvenil de 17 meses. Lapsus$ muestra que la justicia juvenil puede ser lenta y firme. La comparación no es perfecta, pero deja una idea: el daño económico probado pesa más que la edad.
Para las empresas, el episodio deja una lección operativa. Bitdefender recomienda parchear primero el software expuesto a internet y revisar quién tiene acceso a los servicios de almacenamiento en la nube, sobre todo los espacios que ya no gestiona nadie: los heredados de una compra, los de un proyecto terminado o las pruebas que quedaron abiertas. INCIBE recomienda no pagar y contactar con el 017, su línea gratuita de ayuda, también disponible por WhatsApp en el 900 116 117. Para archivos cifrados existe No More Ransom, el portal impulsado por Europol y la policía neerlandesa en 2016.
En el mercado español, la noticia llega en un momento de presión para el negocio de la ciberseguridad. Indra y Telefónica Tech compiten por contratos de protección gestionada mientras las aseguradoras del IBEX 35 revisan coberturas frente a extorsiones que ya no siempre se cobran. Un chaval de 16 años obligó a coordinar a nueve países. La paradoja es que su plataforma se alquilara por 250 dólares. El negocio criminal no necesita grandes infraestructuras; necesita procesos repetibles y víctimas con prisa.
La Guardia Civil continúa analizando los dispositivos y los datos intervenidos, así como rastreando las criptomonedas del grupo. Los investigadores no descartan nuevas actuaciones. La operación KillSwitch tomó el control de la web de filtraciones, de cinco servidores centrales y de varios dominios, y se incautó de al menos 110 terabytes de datos robados. Los 110 terabytes incautados son un activo con valor de mercado. Esa montaña de información es también una prueba del daño acumulado.
Queda una pregunta de mercado: si el administrador era un menor, ¿cuántos afiliados operaban con más experiencia y menos exposición? La UCO no ha cerrado esa puerta. La próxima comparecencia judicial y el análisis forense de las carteras de criptoactivos marcarán si KillSec muere con su líder o si su marca se recicla, como ha ocurrido con otras plataformas de ransomware. KillSec puede morir con su líder o reciclarse como marca criminal. En esta redacción seguiremos la pista a las cifras, no al morbo de la edad.
