Europol: главой KillSec оказался 16-летний. Полиция забрала 110 ТБ

30 сентября 2026 года полиция взяла под контроль leak-сайт группировки KillSec и отрезала доступ минимум к 110 терабайтам данных, которые банда копила для шантажа. По заявлению Europol, главным оператором считают 16-летнего. Три человека временно арестованы, обыски прошли в восьми домах в Греции, Румынии, Испании и Великобритании. Ниже - что это за контора, как она зарабатывала на чужих файлах и чем это грозит обычным людям, если их работодатель когда-нибудь окажется в списке жертв.

Что случилось 30 сентября

Операцию назвали KillSwitch. Вела её полиция Гамбурга вместе с прокуратурой города. В расследовании участвовали Бельгия, Финляндия, Германия, Греция, Нидерланды, Румыния, Испания, Швейцария, Великобритания и США, плюс Europol, Eurojust и компании Bitdefender и Group-IB. Сайт утечек перенаправили на полицейское объявление о изъятии. Пять серверов, через которые крутили инфраструктуру и складывали чужие архивы, тоже оказались у следователей.

Цифры, которые озвучили публично, крупные даже для этой индустрии. Около тысячи подозреваемых атак по миру. Около 500 уже считают успешными - цифра может вырасти, когда разберут изъятое. На leak-сайте до снятия висело примерно 450 жертв. Это не «один школьник взломал соседскую школу». Это конвейер давления на организации: украли внутренние файлы, вывесили имя на тёмном сайте, потребовали выкуп, иначе выложат всё желающим скачать бесплатно.

Кто, по версии следствия, сидел за пультом

Europol описывает роли, а не романтический «хакер в капюшоне». Администратор и главный оператор - 16 лет. Подозреваемый разработчик стал совершеннолетним в августе 2026-го и был несовершеннолетним в период части эпизодов. Отдельно назвали переговорщика и аффилиата - человека, который по сути арендовал доступ к чужим атакам. Поиск остальных продолжается.

Испанская Guardia Civil, по сообщению Computer Weekly, задержала 16-летнего румынского гражданина в Аликанте: обыски в частном доме и в отеле, изъяты компьютеры, телефоны, криптокошельки и инструменты маскировки. В Великобритании арестовали 28-летнего нидерландца Fouad Eltibrizi, известного в сети как Archduke. Минюст США сообщил, что его ждут в Пуэрто-Рико по обвинению в сговоре о несанкционированном доступе к компьютерам. Имена подростков публично не называют - и правильно: это ещё версия следствия, не приговор.

Как KillSec давила на жертв

Группа активна примерно с 2024 года. Схема, которую описывает Europol, типична для современной «вымогательской экономики» без киношного шифрования всего офиса в первый же день. Искали дыры в софте и плохо закрытые входы, особенно в облачных хранилищах. Копировали внутренние данные на свои серверы. Потом вешали организацию на leak-сайт: заплатите, иначе файлы уйдут в открытый доступ. Иногда выкуп платили. Иногда нет - и тогда архив становился бесплатным подарком кому угодно.

Это важно понимать без магии. Жертва здесь не «аноним в Telegram», а больница, подрядчик, школа, логистическая фирма, любой офис, где админ забыл закрыть облако. Украденное - договоры, паспорта сотрудников, переписка, медицинские и финансовые куски. Дальше давление идёт не на «систему», а на репутацию и регуляторов: если данные утекут, придётся объясняться клиентам и надзору. Полиция отдельно отмечает, что группировка использовала ИИ, чтобы собирать инфраструктуру и намечать цели. Это не сюжет про «нейросеть сама взломала мир». Это инструмент, который снижает порог входа для маленькой команды.

Почему в центре оказались подростки

Картина неприятно бытовая. Несовершеннолетний администратор, разработчик, который только что перестал быть ребёнком по паспорту, взрослый переговорщик и аффилиат. Расследование в нескольких странах стартовало ещё в начале 2025-го. Пока компании спорили, «это дети или мафия», инфраструктура жила своей жизнью: домены, серверы, крипта, список жертв на сайте.

Теневой рынок давно перестал быть клубом сорокалетних в подвале. Вымогательство как услуга дробит роли: один пишет куски кода, другой торгуется, третий приводит «клиентов». Подросток в такой схеме может быть и «мозгом», и расходным материалом. Закон к несовершеннолетним строже в одном месте и мягче в другом: следствие обязано учитывать возраст, а украденные 110 терабайт от этого не становятся меньше. Для наблюдателя вывод простой: возраст оператора не делает атаку игрушечной.

Что изъяли и куда смотрит следствие

Помимо сайта, под контроль взяли пять ключевых серверов и домены. Идёт разбор устройств и цепочек криптовалюты. Europol прямо пишет: улики могут указать на новых жертв, новые эпизоды и новых людей. 110 терабайт - это не «папка с паролями». Это объём, в котором тонут бухгалтерия, сканы документов, внутренние чаты. Пока следователи разбирают архив, часть данных уже могла разойтись зеркалами. Снятие сайта останавливает витрину, не всегда останавливает копии.

Деньги тоже в фокусе. Вымогательство живёт на крипте и на том, что компаниям проще заплатить тихо, чем публично объяснять клиентам, почему их паспорта висят в торренте. Операция бьёт сразу по людям, серверам и кошелькам. Это стандарт 2020-х: без финансовой нитки банда просто переезжает на новый домен через неделю.

Чем это грозит обычному человеку

Если вы не директор завода, риск всё равно бытовой. Ваши данные часто лежат не у вас, а у работодателя, клиники, каршеринга, подрядчика, который «просто хранил сканы в облаке». Когда такую контору вешают на leak-сайт, в открытый доступ уходят не «секреты корпорации», а ФИО, адреса, даты рождения, иногда сканы паспортов и переписка с HR. Дальше классика: фишинг «от банка», звонки «от полиции», кредиты на ваше имя.

Практичный минимум без героизма. Если работодатель прислал письмо «нас взломали» - меняйте пароли там, где почта совпадает с рабочей, включите двухфакторку не через SMS, следите за кредитной историей, не открывайте «документы по инциденту» из странных писем. Не платите «специалистам», которые сами написали вам в мессенджер. Полиция и нормальные ИБ-компании не ходят по Telegram с предложением «вернуть файлы за биткоин». KillSec сняли с витрины. Следующая контора с подростком у пульта уже собирает свой список. Разница только в том, чей облачный ключ в этот раз забыли закрыть.

Источники

Официальный релиз Europol от 1 октября 2026, разборы Bleeping Computer, SecurityWeek, CyberScoop и Computer Weekly. Возраст, объём изъятого и число атак - заявления следствия, не вступивший в силу приговор.