Een internationaal politieonderzoek heeft geleid tot arrestaties rond KillSec ransomware. In Spanje, met steun van onder meer Duitse en EU-partners, troffen onderzoekers niet alleen verdachten, maar ook infrastructuur: ze namen een ransomware-leaksite over en legden servers en data stil.
Volgens de betrokken autoriteiten wordt KillSec verantwoordelijk gehouden voor het stelen van data bij organisaties en het dreigen met publicatie op de eigen leaksite, tenzij er betaald werd. Dit artikel zet de belangrijkste feiten op een rij en vertaalt ze naar praktische aandachtspunten voor organisaties die zich tegen ransomware en datadiefstal willen beschermen.
Wat gebeurde er bij de KillSec-actie?
De politie in Spanje arresteerde een 16-jarige die volgens onderzoekers betrokken was bij het runnen van de KillSec-groep. Hamburgse politie en het Openbaar Ministerie in Duitsland leidden daarbij een deel van de operatie, zo werd gemeld. De arrestatie vond plaats in het kader van een bredere aanpak waarin ook andere verdachten werden vastgezet.
Op 30 september werden in totaal drie personen gearresteerd. Daarbij werd ook de controle over de leaksite overgenomen. In de dagen daarna volgden aanvullende stappen: onderzoekers deden doorzoekingen en legden beslag.
Een woordvoerder van Europol gaf aan dat twee andere arrestanten in hun twintigste levensjaren zijn: één in het Verenigd Koninkrijk en één in Roemenië. De vervolging en uitleveringsstappen liepen via nationale instanties en EU-samenwerking.
Rollen binnen de groep: administrator, developer en meer
Onderzoekers beschrijven dat er binnen de groep meerdere rollen werden onderscheiden. In hun analyse komen vier functies naar voren: een administrator, een developer, een negotiator en een affiliate.
Een affiliate is daarbij een buitenstaander die gebruikmaakt van de tools van een ransomwaregroep om aanvallen uit te voeren. Dat model helpt daders om schaal te maken zonder zelf alle technische kennis in huis te hebben.
De vermoedelijke developer werd in augustus 18 jaar, maar zou minderjarig zijn geweest toen sommige van de vermeende feiten plaatsvonden. Die persoon is volgens de berichten geïdentificeerd, maar niet gearresteerd. Voor de andere twee arrestanten werd in de statements niet duidelijk gemaakt welke rol precies aan hen werd gekoppeld.
Van leaksite naar servers: wat namen autoriteiten mee?
Een opvallend onderdeel van de operatie was de impact op de infrastructuur. Tijdens het overnemen van de leaksite en het onderzoek werden servers uitgeschakeld. Hamburgse onderzoekers zouden daarbij vijf servers hebben stilgezet, waaronder de belangrijkste KillSec-server en systemen die werden gebruikt om gestolen data op te slaan.
Daarnaast werd er beslag gelegd op meerdere domeinen. Er werd ook gemeld dat onderzoekers minstens 110 terabytes aan data veiligstelden, zodat verdere onbevoegde toegang werd voorkomen. Ook in Spanje ging het om inbeslagname van computersystemen, telefoons en cryptocurrency-wallets.
Op basis van een eerste analyse zagen de autoriteiten transacties die overeen zouden komen met ransombetalingen van sommige slachtoffers. Dat is relevant, omdat het niet alleen gaat om het technisch verstoren van systemen, maar ook om het volgen van geldstromen om meer slachtoffers en betrokkenen zichtbaar te maken.
Hoe KillSec volgens politie aan toegang kwam
Volgens Hamburgse politie kreeg KillSec toegang tot organisaties door het misbruiken van softwarekwetsbaarheden en door zwak beveiligde toegangspunten. Daarbij lag de nadruk vooral op cloudopslag en andere omgevingen waar gegevens centraal staan.
Na het verkrijgen van toegang kopieerde de groep gevoelige interne gegevens naar servers die zij onder eigen controle brachten. Vervolgens plaatsten ze de slachtoffers op hun darkweb-leaksite en dreigden ze de data te publiceren als er geen losgeld werd betaald.
Waar slachtoffers weigerden te betalen, zou de gestolen data volgens de beschrijving ook zonder betaling toegankelijk worden gemaakt voor download. Dit mechanisme past binnen de bredere trend dat ransomware niet langer alleen om encryptie draait, maar vooral om datadiefstal en afpersing.
AI en afpersing: wat er is gemeld
In de berichtgeving komt ook het gebruik van AI terug. Hamburgse politie stelt dat KillSec AI inzette om de eigen infrastructuur te bouwen en te beheren, én om mogelijk interessante doelen te identificeren.
De autoriteiten gaven in hun statement echter geen technische details over hoe die AI precies werd toegepast. Daardoor is het voor organisaties lastig om harde aanwijzingen te vertalen naar één specifieke verdedigingsmaatregel. Toch blijft de les overeind: bedreigingsgroepen automatiseren en optimaliseren hun processen, waardoor aanvallen sneller en gerichter kunnen worden.
Hoeveel aanvallen en slachtoffers worden onderzocht?
Het onderzoek omvat volgens de politie ongeveer 1.000 vermoedelijke aanvallen wereldwijd. Hiervan zouden er tot nu toe ongeveer 500 als succesvol worden geïdentificeerd. Deze aantallen kunnen veranderen wanneer de teams de in beslag genomen bewijzen verder analyseren.
Spanish police schatte het aantal slachtoffers op meer dan 280. Europol stelde bovendien dat de groep substantiële losgeldbetalingen zou hebben ontvangen. Onderzoekers proberen nu door analyse van de apparatuur en de data ook meer slachtoffers en aanvallers te koppelen.
Verder werd aangegeven dat er mogelijk nieuwe informatie volgt via het volgen van het geld, inclusief cryptocurrency. In zulke zaken is het vaak de combinatie van technische sporen en financiële data die de puzzel afrondt.
Ransomware-as-a-service en de connectie met affiliates
Beveiligingsbedrijven rapporteerden eerder over de evolutie van de aanpak. In 2025 werd gemeld dat KillSec begon als hacktivistengroep en later overstapte op ransomware. Volgens diezelfde rapportage zou de groep vanaf oktober 2023 ransomware zijn gaan gebruiken, waarbij later ook een ransomware-as-a-service-model opkwam.
Dat model houdt in dat de ransomware aan affiliates werd aangeboden, zodat zij aanvallen konden uitvoeren met ondersteuning van de ontwikkelaars achter de campagne. Het maakt de dreiging diffuser: organisaties moeten niet alleen denken aan één actorschap, maar aan een ecosysteem waarin verschillende partijen bijdragen aan het uitvoeringsproces.
Voor verdediging betekent dat: je kunt niet volstaan met maatregelen tegen één “type” aanval. Het vraagt om basisverdediging tegen initiële toegang en om stevige bescherming van gegevens, ook als een aanvaller geen bestanden versleutelt maar wél data steelt.
Wat kunnen organisaties leren van deze KillSec-case?
Zelfs wanneer politie groepen offline haalt, blijft ransomware en datadiefstal een reële dreiging. De KillSec-zaak laat zien waar het vaak misgaat en waar je het verschil kunt maken.
1) Verhoog de weerbaarheid van cloudtoegang
Omdat onderzoekers vooral cloudopslag en zwak beveiligde toegangspunten noemen, is het verstandig om cloudidentiteiten en machtigingen scherp te controleren. Denk aan toegangsbeheer op basis van minimale rechten, sterke authenticatie en het regelmatig herzien van toegangsrollen.
2) Houd gestolen data in je threat model
Uit de beschrijving blijkt dat afpersing ook zonder encryptie kan plaatsvinden. Daarom is het zinvol om niet alleen te focussen op herstel na versleuteling, maar ook op detectie van datakopieën, ongebruikelijke downloads en het exfiltreren van gevoelige bestanden.
3) Werk incident response bij op datalekken door ransomware
Als een aanvaller data steelt en publicatie dreigt, moet je proces daarop aansluiten. Zorg dat je procedures voor bewijsverzameling, juridische stappen en communicatie met betrokken partijen zijn ingericht voor een scenario waarin de dreiging draait om publicatie van data.
4) Volg updates en versterk fundamentals
Cybercriminaliteit verandert van tempo, maar niet van basisprincipes. Daarom helpt het om je securityfundamenten consequent te verbeteren: patchmanagement, logging, segmentatie, en het beperken van attack paths. Als je daar meer context bij zoekt, lees ook Bron: https://thehackernews.com/2026/10/police-arrest-16-year-old-suspected-of.html
