KillSec: la Guardia Civil detiene a su presunto líder, un chaval de 16 años con 1.000 ciberataques

La Guardia Civil ha detenido en Alicante al presunto líder de KillSec: un chaval de 16 años con más de 1.000 ciberataques.

Para llegar hasta él no hizo falta criptografía cuántica ni un honeypot de última generación. Bastó con una foto de perfil. El Departamento de Cibercrimen de la Unidad Central Operativa (UCO) tiró del hilo de una imagen y acabó en una vivienda de la provincia de Alicante donde, presuntamente, se gestionaba una de las plataformas de ransomware más activas del planeta. el rastro de una foto de perfil bastó para llegar hasta él.

El error que lo delató: una foto de perfil

La Operación Rotoma arrancó en 2025 de la mano de la oficina del FBI en San Juan de Puerto Rico, que buscaba a miembros de KillSec residentes en España. En paralelo, los Mossos d’Esquadra investigaban un ataque contra la entidad pública catalana Infraestructures.cat a principios de 2025: acceso a información sensible, intento de extorsión y daños estimados en cerca de un millón de euros. La entidad asegura que no pagó rescate.

El cruce de ambas investigaciones puso nombre y cara al sospechoso. Los agentes le atribuyen cuatro sombreros distintos: administrador, desarrollador, negociador y afiliado a la vez. Un solo adolescente cubriendo las funciones de un equipo entero.

En los registros —una vivienda y la oficina de un hotel de la provincia— los agentes se llevaron ordenadores, móviles y carteras de criptoactivos. Una mujer quedó como investigada por su presunta relación con los hechos.

Mil ataques, 110 terabytes y un chaval de 16 años: la ciberdelincuencia ya no necesita genios, le basta con un panel de control y una identidad mal tapada.

Ransomware de alquiler: 250 dólares y un 12 % de comisión

El modelo de negocio es lo más revelador del asunto. Según la firma de ciberseguridad Group-IB, que colaboró en la investigación, KillSec alquilaba su ransomware a terceros: 250 dólares de entrada y un 12 % de cada rescate para el grupo, comisión que en enero de 2025 ya había subido al 20 %. Sin permiso de los administradores, ningún afiliado podía fabricar su propia versión del malware.

El catálogo fue creciendo. En noviembre de 2024 llegó una variante para servidores VMware ESXi capaz de apagar máquinas virtuales y borrar sus instantáneas. Además, vendían directamente los datos robados con precios de entre 5.000 y 500.000 dólares. De los más de 1.000 ataques, unos 500 habrían funcionado contra más de 280 víctimas, y algunas pagaron rescates de alrededor de 500.000 euros en criptomonedas.

Group-IB contó 274 organizaciones expuestas en su web de filtraciones: un 35 % de Estados Unidos, un 17 % de India y un 14 % de Europa, con el sector financiero y el sanitario como los más castigados. Para entrar aprovechaban vulnerabilidades sin parchear y accesos mal protegidos, sobre todo en almacenamiento en la nube que ya no vigilaba nadie.

KillSwitch: nueve países, 110 terabytes y tres detenidos

El 30 de septiembre se ejecutó la operación internacional KillSwitch, coordinada por Europol y Eurojust con nueve países: Bélgica, Finlandia, Alemania, Grecia, Rumanía, España, Suiza, Reino Unido, y Estados Unidos. Hubo ocho registros, tres detenciones y 110 terabytes incautados, además de la web de filtraciones, cinco servidores centrales y varios dominios que ahora muestran un aviso policial.

Los otros dos arrestados son hombres de veintitantos, uno en Reino Unido y otro en Rumanía. Puerto Rico ya ha pedido la extradición del británico. El desarrollador, que acaba de cumplir la mayoría de edad, está identificado pero no detenido. La Guardia Civil sigue analizando dispositivos y rastreando las criptomonedas: no se descartan más actuaciones.

16 años, seis de internamiento y una pregunta incómoda

Aquí viene lo que de verdad escuece. Por su edad, el caso cae en la Ley Orgánica 5/2000 de responsabilidad penal del menor, aplicable entre los 14 y los 18 años. Para quien tenía 16 o 17 en el momento de los hechos, un máximo de seis años de medidas para un menor. Si el juez lo califica de extrema gravedad, toca internamiento en régimen cerrado de uno a seis años, más hasta cinco de libertad vigilada.

El precedente está fresco. En marzo de 2022, la policía de Londres detuvo a siete jóvenes de entre 16 y 21 años vinculados a Lapsus$, el grupo que atacó Microsoft, Nvidia y Samsung. Quedaron libres sin cargos, pero la historia siguió: en diciembre de 2023 un tribunal londinense ordenó internar indefinidamente en un hospital a Arion Kurtaj, de 18 años, y a otro miembro de 17 le cayó una medida de rehabilitación de 17 meses.

Mientras se decide qué se hace con él, la parte técnica tiene arreglo y la parte humana no. Dmitry Volkov, consejero delegado de Group-IB, lo resumió así: ‘Los servidores se pueden reemplazar en semanas; las personas que construyen la plataforma y aprueban cada ataque, no’. Para las empresas que guardan datos en la nube, la receta de siempre: parchear primero lo expuesto a internet y revisar quién accede a los espacios que nadie gestiona. Y si el ataque ya ha ocurrido, el Instituto Nacional de Ciberseguridad (INCIBE) recomienda no pagar y llamar al 017.

Hype-O-Meter

Nivel de hype: 8/10. Nueve países, 110 terabytes y un adolescente manejando el panel de control: la operación KillSwitch tiene más mérito que media docena de lanzamientos de IA de este año. Le falta el cierre cinematográfico —el desarrollo judicial va para largo y el protagonista es menor—, pero el aviso a navegantes es real y gratis.

El resumen para vagos (TL;DR)

• 🎯 ¿Qué ha pasado? La Guardia Civil detiene en Alicante al presunto jefe de KillSec, un chaval de 16 años.
• 🔥 ¿Por qué importa? Alquilaba ransomware a 250 dólares y se le atribuyen más de 1.000 ataques.
• 🤔 ¿Nos afecta o es solo un meme? Afecta: si guardas datos en la nube, revisa quién tiene acceso.