La Guardia Civil spagnola e la polizia catalana Mossos d'Esquadra hanno arrestato ad Alicante, il 30 settembre, il sospetto principale operatore del gruppo ransomware KillSec: un cittadino romeno di sedici anni. Altri due sospetti sono stati fermati in blitz collegati, per un totale di tre arresti. L'operazione, chiamata Operation KillSwitch e coordinata da Europol, ha portato anche al sequestro di cinque server centrali e del sito usato dal gruppo per pubblicare i dati rubati sul dark web.
Come agiva il gruppo
Secondo Europol, KillSec sfruttava vulnerabilità nei software e punti di accesso protetti male, in particolare sistemi di archiviazione in cloud configurati in modo insicuro, per copiare informazioni sensibili dalle aziende colpite. Una volta ottenuti i dati, il gruppo minacciava le vittime di pubblicarli se non avessero pagato un riscatto. L'indagine internazionale collega la gang a circa mille attacchi in due anni, un numero che segnala quanto il modello del ransomware-as-a-service, cioè l'affitto di strumenti di attacco pronti all'uso, abbia reso più semplice colpire anche per chi ha competenze tecniche limitate.
Perché riguarda anche le piccole attività
Il caso KillSec mostra che le gang ransomware non colpiscono solo grandi aziende, ma anche realtà più piccole con difese meno strutturate, spesso scelte proprio perché più facili da violare. Backup regolari e scollegati dalla rete principale, aggiornamenti tempestivi di sistemi e software, e una configurazione corretta degli spazi cloud restano le difese più concrete contro questo tipo di attacco. Chi gestisce dati di clienti o fornitori dovrebbe verificare periodicamente chi ha accesso a quei sistemi e se le password usate sono ancora quelle di default: un controllo semplice, che richiede poco tempo e riduce in modo sensibile il rischio di finire tra le prossime vittime.