La Guardia Civil, a través del Departamento de Cibercrimen de la Unidad Central Operativa (UCO), y los Mossos d'Esquadra de la Divisió d'Investigació Criminal (DIC) han detenido en Alicante a un menor de edad, de nacionalidad rumana, por su presunta participación en el grupo de 'ransomware' KillSec, en el marco de una operación internacional contra esta agrupación.

También se han practicado dos entradas y registros, concretamente en un domicilio y en una oficina de un establecimiento hotelero de la provincia alicantina, y una mujer ha quedado investigada, según ha informado el instituto armado este jueves en un comunicado.

Desmantelada una red que estafó más de un millón de euros a 43 personas en Aragón

EFEEl fraude afectó a 43 residentes aragoneses y permitió recuperar 256.708 euros tras rastrear transferencias hacia varias provincias

Los agentes se han incautado de material informático, teléfonos móviles, carteras de criptoactivos y servicios de anonimización y cifraje de información relacionados con la supuesta actividad delictiva del posible entramado. En un primer análisis, los investigadores han podido evidenciar transacciones correspondientes a pagos en forma de rescate por parte de algunas víctimas.

La investigación de la Guardia Civil, denominada Operación Rotoma, se inició en 2025 a partir de la colaboración policial con el FBI de San Juan de Puerto Rico, orientada a identificar a personas relacionadas con KillSec que pudieran residir en España.

Detenidos por retener a un hombre para robarle 20.000 euros en joyas, dinero y criptomonedas

Europa PressLa víctima permaneció atada durante horas en Finestrat y sufrió golpes para entregar efectivo, metales preciosos y activos digitales valorados en unos 20.000 euros

Los investigadores de la UCO, partiendo únicamente de una imagen de perfil, lograron identificar a uno de los presuntos administradores del grupo criminal que residía en la provincia de Alicante.

Por parte de Mossos d'Esquadra, el caso comenzó a partir de un ciberataque, presuntamente del grupo KillSec, contra una entidad catalana a principios de 2025. Según la investigación, los atacantes habrían accedido a los sistemas de la empresa, habrían sustraído "información sensible" y habrían intentado extorsionarla.

Ante estos hechos, los especialistas de cibercrimen de la DIC de los Mossos d'Esquadra abrieron una investigación para esclarecer la autoría de la intrusión, la filtración de datos y el posterior intento de extorsión. Los daños ocasionados por este ciberataque ascenderían a cerca de un millón de euros.

Cuatro detenidos por 72 robos de material informático en Cataluña, Aragón y Valencia

EFELa investigación comenzó en octubre de 2025, cuando el grupo empezó a perpetrar los robos de teléfonos móviles, ordenadores y tabletas de empresas

Pesquisas conjuntas

La constitución de un equipo conjunto entre ambos cuerpos permitió coordinar las pesquisas, identificar al sospechoso residente en España, ubicar su residencia y determinar tanto su posible rol como principal administrador del grupo como su supuesta participación en el ataque cometido en Catalunya. En las actuaciones en España, se ha contado con el apoyo de especialistas de Europol y agentes de Bélgica, Alemania y Estados Unidos.

La actuación española se integra en la operación internacional KillSwitch, desarrollada contra el grupo KillSec y coordinada con Europol y Eurojust. En la investigación han participado autoridades de Bélgica, Finlandia, Alemania, Grecia, Rumanía, España, Suiza, Reino Unido y Estados Unidos, con apoyo de las empresas de ciberseguridad Bitdefender y Group-IB.

Identificado por presuntamente estafar a una empresa tras lograr que desviara una nómina

Europa PressUna compañía alicantina transfirió 2.000 euros tras recibir mensajes falsos que simulaban proceder de una empleada. El presunto autor ha sido localizado en Málaga

De acuerdo con las pesquisas realizadas, este grupo habría realizado más mil ciberataques en todo el mundo, de los que unos 500 habrían tenido éxito, con más de 280 víctimas, hasta el punto de que algunas habrían abonado rescates de alrededor de 500.000 euros en criptomonedas.

La actuación desarrollada este miércoles permitió que las autoridades policiales y judiciales tomaran el control de la infraestructura de este grupo, incluyendo su página de filtraciones, y se han asegurado al menos 110 terabytes de datos.

Durante la investigación, también se pusieron bajo control policial cinco servidores centrales, se intervinieron dominios utilizados por el grupo y se actuó sobre evidencias, activos y posibles beneficios delictivos, incluidas criptomonedas.

Cae un grupo que estafó 327.000 euros a 113 personas mediante una falsa inversión en criptomonedas

Europa PressLa trama captaba ahorradores con promesas de rentabilidad rápida y habría obtenido 327.000 euros de 113 afectados mediante un esquema piramidal

'Modus operandi'

La Guardia Civil ha apuntado que KillSec, activo aproximadamente desde 2024, al parecer accedía a sistemas de organizaciones mediante la explotación de vulnerabilidades y de puntos de acceso deficientemente protegidos, sobre todo en entornos de almacenamiento en la nube.

Sus integrantes presuntamente copiaban información interna sensible y la trasladaban a infraestructura bajo su control. Las víctimas eran identificadas en un sitio de filtraciones de la internet oscura y recibían amenazas de publicación de los datos sustraídos si no pagaban el rescate exigido. Cuando la víctima no pagaba, los archivos podían ponerse a disposición para su descarga gratuita. Los investigadores atribuyen a los sospechosos distintos cometidos. Entre ellos, los de administrador, desarrollador, negociador y afiliado.

Detenido en un hotel de lujo de Madrid el presunto autor de estafas a grandes empresas por más de 1 M

Europa PressEl sospechoso alteraba parámetros de pago para conseguir vuelos, entradas y reservas sin abonar su importe, causando pérdidas superiores al millón de euros

La actuación coordinada se ha dirigido tanto contra las personas que presuntamente integraban KillSec contra los sistemas que utilizaban para llevar a cabo sus actividades. Las autoridades han practicado ocho registros domiciliarios en España, Grecia, Reino Unido y Rumanía, han efectuado tres detenciones y han intervenido pruebas y activos.

Durante la investigación, cinco servidores centrales han quedado bajo el control policial, incluyendo infraestructuras que al parecer se usaban para gestionar las actividades del grupo y almacenar los datos sustraídos a las víctimas.

“Málaga no puede normalizar los tiroteos”: la Policía exige medios “permanentes” frente al crimen organizado

Luis Vertedor. MálagaLos cinco sindicatos policiales se unen para pedir medios a largo plazo y critican que los refuerzos se realicen solo tras episodios violentos, como los dos últimos tiroteos

Las autoridades también han asumido el control de diversos dominios operados por KillSec y han redirigido los visitantes a un aviso oficial de intervención policial. Los investigadores continúan examinando los dispositivos y los datos intervenidos, a la vez que rastrean los beneficios derivados de la actividad criminal del grupo, incluidos los activos en criptomonedas. Las pruebas obtenidas podrían permitir identificar nuevas víctimas, nuevos ataques y otras personas implicadas.

La Joint Cybercrime Action Taskforce (J-CAT) ha coordinado a nivel policial las actuaciones con el apoyo del Centro Europeo contra la Ciberdelincuencia de Europol. A nivel judicial, las investigaciones han sido coordinadas por Eurojust.

Ya cualquiera torea al FBI: cómo Trump ha convertido el buró en el hazmerreír del mundo

Argemino Barro. Nueva YorkEl segundo ciberataque de gran calibre en seis meses contra el organismo alimenta las dudas sobre su capacidad y su independencia bajo el mando del polémico Kash Patel

Según ha subrayado la Guardia Civil, "estas actuaciones han permitido asestar un importante golpe a uno de los grupos de cibercrimen organizado más activos".

Dado el volumen de información incautada, se continúan analizando los dispositivos y los datos intervenidos, rastreando los posibles beneficios delictivos e investigando a otros supuestos integrantes del grupo criminal, por lo que no se descartan nuevas actuaciones.

'Ransomware'

El 'ransomware' es un tipo de 'malware' o código malicioso que bloquea equipos o impide el acceso a la información, normalmente mediante su cifrado, y exige un rescate para recuperar los datos o evitar su destrucción o difusión.

En modalidades de doble extorsión, los autores no solo bloquean la información, sino que también la sustraen y amenazan con publicarla para aumentar la presión sobre la víctima, ha apuntado la Guardia Civil.

Este tipo de amenaza puede aprovechar vulnerabilidades o accesos mal protegidos y también propagarse mediante técnicas de ingeniería social, como enlaces o archivos adjuntos maliciosos. Su impacto puede comprometer información sensible y afectar a la continuidad de la actividad de las organizaciones.