Румыния участвует в операции, остановившей инфраструктуру KillSec после примерно 1 000 предполагаемых атак

Три подозреваемых были временно арестованы, восемь обысков прошли в четырех странах, включая Румынию, а власти взяли под контроль сайт, использовавшийся KillSec для публикации украденных данных. Международное расследование касается около 1 000 предполагаемых атак, из которых примерно 500 на данный момент были идентифицированы как успешные, и обеспечило защиту как минимум 110 ТБ данных.

Власти десяти стран, включая Румынию, приняли участие в международной операции KillSwitch против инфраструктуры, связанной с киберпреступной группировкой KillSec, расследуемой в связи примерно с 1 000 предполагаемых атак по всему миру. 30 сентября власти взяли под контроль сайт, использовавшийся для публикации украденных данных, обеспечили защиту как минимум 110 ТБ информации и провели восемь обысков в Греции, Румынии, Испании и Соединенном Королевстве. Три подозреваемых были временно арестованы.

Кратко

В рамках операции KillSwitch расследуются примерно 1 000 предполагаемых атак, приписываемых KillSec, из которых около 500 на данный момент следователи идентифицировали как успешные.

Три подозреваемых были временно арестованы, а восемь обысков прошли в Греции, Румынии, Испании и Соединенном Королевстве.

Власти обеспечили защиту минимум 110 ТБ украденных данных, взяли под контроль домены KillSec и в ходе расследования — пять центральных серверов, использовавшихся группировкой.

Предполагаемому администратору и главному оператору 16 лет, а подозреваемому, считающемуся разработчиком, в августе исполнилось 18 лет; на момент совершения некоторых расследуемых деяний он был несовершеннолетним.

Румыния также входила в состав совместной следственной группы, созданной вместе с Бельгией, Германией и Грецией, в которую с румынской стороны вошли DIICOT — Центральная структура и Управление по борьбе с организованной преступностью Румынской полиции.KillSec расследуется в связи с атаками, проводившимися примерно с 2024 года против организаций, внутренние данные которых, предположительно, копировались и передавались в инфраструктуру, контролируемую группировкой. Согласно Europol и Eurojust, впоследствии жертвам угрожали публикацией информации, если они не выплачивали выкуп.

Если оплата не производилась, данные могли публиковаться для скачивания на сайте, которым управляла группировка. Чтобы доказать жертвам, что они владеют информацией, участники KillSec в некоторых случаях, предположительно, передавали образцы похищенных файлов.

Международная операция достигла кульминации 30 сентября, когда был взят под контроль сайт, использовавшийся группировкой для этих угроз. Посетители доменов, ранее контролировавшихся KillSec, перенаправлялись на сообщение властей.

Europol уточняет, что как минимум 110 ТБ данных были защищены от последующего несанкционированного доступа. Этот объем не представляет собой количество данных, украденных в ходе одной атаки, и не является окончательным общим объемом информации, скомпрометированной во всех расследуемых случаях.

В ходе расследования власти также взяли под контроль пять центральных серверов, связанных с KillSec. Они использовались для управления деятельностью группировки и хранения данных, полученных от жертв.

Не все пять серверов были конфискованы во время операции 30 сентября. В сообщениях Europol и Eurojust уточняется, что они были взяты под контроль в ходе расследования, тогда как координированная операция дополнительно была направлена на жилые помещения, устройства, активы и онлайн-инфраструктуру.

Текущие итоги расследования также проводят различие между предполагаемыми атаками и атаками, подтвержденными следователями на данный момент. Операция касается примерно 1 000 предполагаемых атак по всему миру, однако Europol сообщает, что около 500 из них пока были идентифицированы как успешные.

Эта цифра может измениться по мере анализа конфискованных устройств и информации. Власти надеются, что восстановленные данные позволят выявить других жертв, атаки, которые еще не были связаны с группировкой, и других лиц, которые могут быть причастны.

Расследование ведут Landeskriminalamt Hamburg и прокуратура Гамбурга. Europol перечисляет участие властей Бельгии, Финляндии, Германии, Греции, Нидерландов, Румынии, Испании, Швейцарии, Соединенного Королевства и Соединенных Штатов.

Eurojust координировал судебные органы девяти стран и организовал координационный центр для одновременного проведения мероприятий. Разница между двумя списками обусловлена операционными и судебными ролями, описанными двумя агентствами, и сама по себе не указывает на противоречие между сообщениями.

Румыния сыграла непосредственную роль в судебном сотрудничестве. Eurojust сообщает, что была создана совместная следственная группа между Бельгией, Германией, Грецией и Румынией.

С румынской стороны в сообщении Eurojust указаны Управление по расследованию преступлений организованной преступности и терроризма, Центральная структура, и Управление по борьбе с организованной преступностью Румынской полиции.

Румыния также входит в число четырех государств, где в рамках координированной операции были проведены обыски, наряду с Грецией, Испанией и Соединенным Королевством. Однако изученные источники не уточняют, сколько из восьми обысков прошло в Румынии и был ли кто-либо из трех временно арестованных задержан на территории Румынии.

В документах также не указано гражданство подозреваемых. Эти сведения не следует выводить из стран, где проходили обыски, или из перечня задействованных органов.

Необычным элементом расследования является возраст некоторых лиц, подозреваемых в выполнении важных ролей в группировке. По данным властей, предполагаемому администратору и главному оператору KillSec 16 лет.

Другому подозреваемому, описываемому как разработчик, в августе 2026 года исполнилось 18 лет, и он был несовершеннолетним в период, когда, предположительно, были совершены некоторые из расследуемых деяний. Следователи также выявили лиц, подозреваемых в выполнении ролей переговорщика и аффилированного участника.

Личности несовершеннолетних не опубликованы в изученных документах, а описание ролей отражает обвинения и оценки следователей. Указанные лица являются подозреваемыми и пользуются презумпцией невиновности.

Europol описывает метод KillSec как основанный главным образом на эксплуатации уязвимостей и недостаточно защищенных точек доступа, в том числе в системах облачного хранения. Получив доступ, злоумышленники, предположительно, копировали внутренние данные в инфраструктуру, контролируемую группировкой.

В сообщении Europol также говорится, что следователи выявили использование искусственного интеллекта для создания и обслуживания инфраструктуры программ-вымогателей, а также для выявления потенциальных жертв. В источнике недостаточно технических подробностей, чтобы установить, какие системы искусственного интеллекта использовались или какая доля операций KillSec зависела от них.

Следовательно, использование ИИ является одним из элементов расследования, но не дает оснований утверждать, что атаки осуществлялись автоматически или что искусственный интеллект был главным инструментом группировки.

Помимо инфраструктуры, следователи отслеживают и доходы, предположительно полученные от выкупов. Europol предоставил специализированную помощь в отслеживании криптовалют и анализе цифровых доказательств, а расследование финансовых потоков продолжается.

Агентство также сотрудничало с компаниями по кибербезопасности Bitdefender и Group-IB, которые оказали расследованию поддержку. Joint Cybercrime Action Taskforce, созданная при Europol, содействовала координации и обмену информацией между властями.

Операция 30 сентября не завершает расследование. Конфискованные устройства, данные и финансовая информация все еще анализируются, и власти заявляют, что доказательства могут привести к выявлению новых жертв, атак и подозреваемых.