欧洲刑警组织（Europol）10月1日公布，执法单位已在9月30日接管勒索团伙 KillSec 的数据泄露网站。此次行动保全了至少 110 TB 被盗数据，阻止相关资料继续被外部访问。调查人员认定，一名 16 岁少年是该团伙的疑似管理员兼主要运营者。
“KillSwitch”行动在4国展开搜查
这次行动代号为“KillSwitch”，由德国汉堡州刑事警察局与汉堡检察署主导。行动在西班牙、希腊、罗马尼亚和英国共搜查 8 处地点，暂时逮捕 3 名嫌疑人。
Europol 表示，KillSec 涉及全球约 1000 起攻击，目前确认约 500 起得手。该机构同时指出，这一数字后续可能随着证物分析而调整。
Europol称团伙曾使用AI搭建基础设施
Europol 还表示，调查发现 KillSec 使用 AI 搭建和维护勒索软件基础设施，并利用 AI 寻找潜在受害者。不过，Europol 没有说明具体使用了哪些 AI 工具，也未披露 AI 实际承担了哪些工作。
调查核心指向两名未成年相关嫌疑人
Europol 称，调查识别出 KillSec 内部存在管理员、开发者、谈判员和加盟者等角色。所谓加盟者，是指向团伙租用勒索工具后自行发动攻击的外部黑客。
其中，疑似开发者要到 2026 年 8 月才满 18 岁，部分涉嫌行为发生时仍未成年。
据 The Hacker News 综合各国警方说法，这名 16 岁少年已在西班牙被捕，执行逮捕的是西班牙国民警卫队与加泰罗尼亚警方。两家机构的联合声明认定，他是该团伙的疑似主要管理员。
The Hacker News 援引路透社报道称，另外两名被捕者均为 20 多岁，分别在英国和罗马尼亚落网。波多黎各已对英国那名嫌疑人提出引渡请求。疑似开发者身份已被确认，但目前尚未被捕。
西班牙调查始于2025年
西班牙国民警卫队表示，相关调查从 2025 年开始，并与美国 FBI 波多黎各圣胡安分局合作，追查可能居住在西班牙的 KillSec 成员。联合声明称，调查人员仅凭一张个人头像，就识别出这名居住在西班牙的管理员。
部分赎金以加密货币支付
Europol 表示，KillSec 大约从 2024 年开始活动。成员在取得组织系统访问权限后，会将内部敏感数据复制到自己控制的服务器，随后在暗网泄露网站点名受害者，并以公开数据相威胁。若受害者拒绝支付赎金，被盗文件可能被开放免费下载。Europol 称，部分案件中，该团伙获得了大额赎金。
The Hacker News 指出，各国执法机构都将 KillSec 称为勒索软件团伙，但公开描述的行为更接近窃取数据后实施勒索。通常意义上的勒索软件，会先加密受害者文件，再要求付款解锁。
西班牙警方声明称，受害对象超过 280 个，部分受害者支付了约 50 万欧元的加密货币赎金。警方在西班牙的搜查中扣押了电脑设备、手机和加密货币钱包。初步分析已发现与部分受害者赎金相符的交易。
加泰罗尼亚警方的案件起于 2025 年初一家当地机构遭到攻击，警方怀疑系 KillSec 所为。这起攻击造成的损失估计接近 100 万欧元。
5台核心服务器和相关域名已被控制
Europol 表示，调查期间共有 5 台核心服务器落入警方控制。这些服务器被用于管理团伙运作并存放受害者数据。执法单位还接管了 KillSec 运营的域名，访问者目前会被导向警方发布的查封公告。
案件已披露的关键信息
- Europol 于 10 月 1 日公布行动进展，执法单位在 9 月 30 日接管 KillSec 泄露网站。
- 至少 110 TB 被盗数据已被保全。
- 行动覆盖 4 个国家，搜查 8 处地点，暂时逮捕 3 人。
- 一名 16 岁少年被认定为疑似主要运营者。
- KillSec 涉及全球约 1000 起攻击，目前确认约 500 起得手。
- 西班牙警方称，受害对象超过 280 个，部分受害者支付了约 50 万欧元的加密货币赎金。