国際的な法執行作戦「Operation KillSwitch」により、ランサムウェアグループ「KillSec」のデータリークサイトとサーバーが押収されました。この作戦では3人が逮捕され、グループの管理者とみられる人物が16歳であることも判明しています。
9月30日に実施されたこの共同作戦には、ベルギー、米国、フィンランド、ドイツ、ギリシャ、オランダ、ルーマニア、スペイン、スイス、英国の当局が参加しました。
捜査には欧州刑事警察機構（Europol）と欧州司法機構（Eurojust）に加え、セキュリティ企業のBitdefenderとGroup-IBも協力しています。
The video player is currently playing an ad. You can skip the ad in 5 sec with a mouse or keyboard
「今回の作戦は、ドイツ当局が主導し、世界中で約1,000件に上る攻撃の疑いを調べている国際捜査『Operation KillSwitch』の一環です」と、Europolは述べています。
「捜査当局は、グループの主犯格とみられる人物が16歳であることを突き止めました。ギリシャ、ルーマニア、スペイン、英国では8か所の家宅捜索を行い、容疑者3人を仮逮捕しています。当局はグループの犯罪収益も標的にしています」
捜査は2025年に始まりました。その結果、このサイバー犯罪グループの管理者、開発者、交渉役、アフィリエイトとみられる容疑者が特定されています。
Europolによると、KillSecの管理者で主犯格とみられる人物は、わずか16歳です。開発者とされる別のメンバーは2026年8月に18歳になりましたが、犯行の一部が行われた当時は未成年でした。
当局は、交渉役とアフィリエイトとみられる人物も特定しています。
ハンブルク警察は、同グループのサーバーインフラを捜査したと発表しました。その結果、KillSecのメインサーバーと、盗んだデータの保管に使われていたとみられる複数のサーバーを含む5台を特定し、停止させています。
押収されたサイトの1つが、https://ks5424y3wpr5zlug5c7i6svvxweinhbdcqcfnptkfcutrncfazzgz5id.onion/ でホストされていたKillSecのダークウェブ上のデータリークサイトです。現在は、押収を告げるメッセージが表示されています。
押収バナーには、「Operation KillSwitchに関連するドメイン、サーバー、およびすべての関連データは、ハンブルク州刑事警察局と国際的な法執行機関の管理下に置かれました」と記載されています。
押収バナーをクリックすると、Operation KillSwitchのウェブサイトに移動します。このサイトには、ランサムウェアグループと今回の逮捕に関する法執行機関の動画が掲載されています。
作戦では、不正アクセスの継続を防ぐため、少なくとも110テラバイトの盗難データも押収しました。さらに、ギリシャ、ルーマニア、スペイン、英国で8件の家宅捜索を実施し、容疑者3人を仮逮捕しています。
捜査当局はこれまでに、KillSecの攻撃のうち約500件が成功したと判断しています。ただし、押収した証拠の分析を続けるなかで、この数字が変わる可能性があると注意を促しています。
攻撃の疑いのうち少なくとも70件は、ドイツ国内の組織に関連しています。そのうち18件はハンブルクに関係するものです。
KillSecは2024年ごろから活動しており、ソフトウェアの脆弱性や、防御の甘いエッジデバイス、プラットフォームを悪用して企業システムに侵入し、機密データを盗んだとされています。
攻撃者は盗んだ企業データを使い、ダークウェブ上のリークサイトを通じて被害者を脅迫していました。身代金を支払わなければデータを公開すると迫っていたということです。
Europolによると、KillSecはこうしたデータ窃取型の攻撃によって「多額の」身代金を受け取っていました。
捜査では、グループのメンバーが人工知能（AI）を使い、ランサムウェアのインフラの構築・維持や、標的となりうる被害者の特定を進めていたことも判明しました。
当局は現在、押収したコンピューター、サーバー、その他のデータを分析しています。あわせて、暗号資産を含むKillSecの犯罪収益の追跡も進めています。
捜査当局は、押収した証拠から、新たな被害者や攻撃、ランサムウェア活動に関与した人物が明らかになる可能性があるとしています。
