KillSec: rete hacker smantellata, coinvolta la Svizzera

Contesto

In breve

• Tre persone arrestate nell'operazione contro KillSec
• Cinque server sequestrati e 110 terabyte recuperati
• Otto perquisizioni in Spagna, Grecia, Regno Unito e Romania
• Il procedimento svizzero è tuttora in corso

Fatti chiave

• Gruppo → KillSec, o KillSecurity
• Arresti → tre persone
• Server sequestrati → cinque
• Dati recuperati → 110 terabyte
• Perquisizioni → otto in quattro Paesi
• Attacchi contro aziende svizzere → ottobre 2023-giugno 2025
• Procedimento svizzero → avviato nel luglio 2025 contro ignoti
• Coordinamento → Europol ed Eurojust con altri sette Paesi

Tre persone sono state arrestate e cinque server, utilizzati per archiviare i dati delle vittime, sono stati sequestrati nell'operazione internazionale che ha smantellato l'infrastruttura informatica di KillSec, gruppo responsabile di attacchi ransomware. Tra le autorità coinvolte figurano il Ministero pubblico della Confederazione (MPC) e l'Ufficio federale di polizia (fedpol).

L'operazione si è svolta ieri, secondo una nota congiunta delle autorità svizzere. Le otto perquisizioni eseguite in Spagna, Grecia, Regno Unito e Romania hanno consentito di recuperare 110 terabyte di dati rubati. Il bilancio reso noto comprende quindi arresti, sequestri e il recupero di una grande quantità di informazioni sottratte.

Il coinvolgimento elvetico nasce da un procedimento penale avviato dalla procura federale contro ignoti nel luglio 2025. L'inchiesta riguarda attacchi ransomware perpetrati dal gruppo KillSec, il cui nome esteso è KillSecurity, contro diverse aziende svizzere nel periodo compreso tra ottobre 2023 e giugno 2025. L'avvio della procedura è dunque successivo all'intervallo temporale degli attacchi indicato dalle autorità.

Il procedimento svizzero

Secondo il comunicato, il gruppo utilizza la cosiddetta doppia estorsione. Prima entra indebitamente nel sistema della vittima, copia ed estrae i dati di interesse e crittografa i server; poi pretende un riscatto in cambio della chiave di decrittazione. Se l'azienda rifiuta di pagare, per esempio perché ha effettuato un backup prima della sottrazione dei dati, gli autori minacciano di pubblicare le informazioni sul darknet.

MPC e fedpol hanno partecipato alle indagini internazionali coordinate da Europol ed Eurojust insieme ad altri sette Paesi. Il procedimento in Svizzera è tuttora in corso e i reati ipotizzati comprendono sottrazione di dati, accesso abusivo a un sistema informatico, danneggiamento di dati ed estorsione.

La ricostruzione delle autorità descrive il ransomware come una sequenza di intrusione, copia ed estrazione dei dati, cifratura dei server e richiesta di pagamento. Il riscatto è spesso richiesto in criptovaluta. Questa è la dinamica descritta nel fascicolo svizzero relativo agli attacchi di KillSec.

Dettagli operativi

Perché il caso riguarda le imprese svizzere

La rilevanza nazionale della vicenda sta nel fatto che il procedimento svizzero riguarda diverse aziende svizzere colpite da attacchi tra ottobre 2023 e giugno 2025. Per chi lavora in una società, il rischio descritto non coincide con un solo momento: comprende l'accesso al sistema, la sottrazione dei dati, il blocco dei server e la pressione legata al riscatto.

Separare questi passaggi aiuta a leggere correttamente la doppia estorsione. La fonte tratta infatti la cifratura e la minaccia di pubblicazione come due leve collegate. Il tema riguarda quindi anche il mercato delle aziende che assumono, pur senza collegare ogni impresa svizzera al gruppo investigato.

La doppia estorsione in pratica

Il backup assume un ruolo preciso nello scenario riportato: può essere il motivo per cui la vittima rifiuta il pagamento, ma secondo la fonte non elimina la minaccia di rendere pubblici i dati. Questo distingue la disponibilità di una copia dei dati dalla protezione delle informazioni già sottratte.

Anche il sequestro dei cinque server e il recupero di 110 terabyte mostrano la doppia dimensione dell'operazione: da una parte l'infrastruttura usata per archiviare i dati delle vittime, dall'altra le informazioni recuperate durante le perquisizioni. La fonte non trasforma questi numeri in una stima dei danni economici o in un importo dei riscatti.

Il procedimento svizzero resta aperto. Per questo il comunicato parla di reati ipotizzati e non presenta una conclusione definitiva sulla responsabilità penale. La presenza di Europol, Eurojust e di altri sette Paesi colloca inoltre il dossier elvetico dentro un'indagine internazionale, con perquisizioni svolte in quattro Paesi europei.

Tool utili per massimizzare il netto

Per ridurre la perdita sul cambio, confronta il cambio CHF-EUR e le banche per frontalieri.

Punti chiave

Dalla notizia a una verifica operativa

Per trasformare i fatti in una lettura operativa, un'azienda svizzera può ricostruire l'episodio seguendo la sequenza descritta dalle autorità. Il percorso serve a distinguere il tipo di azione compiuta e la fase in cui compare la richiesta economica, senza aggiungere procedure o scadenze che la fonte non indica.

Cinque passaggi per ricostruire l'attacco

1. Verificare il primo elemento della sequenza: l'accesso indebito al sistema informatico della vittima. 2. Separare l'ingresso dalla copia e dall'estrazione dei dati di interesse, che nella descrizione del ransomware avvengono prima della cifratura. 3. Accertare se i server sono stati crittografati, perché il blocco precede la richiesta della chiave di decrittazione. 4. Identificare la richiesta di riscatto e considerare che, secondo la fonte, il pagamento è spesso domandato in criptovaluta. 5. Valutare la seconda pressione: se la vittima rifiuta, anche perché dispone di un backup, la minaccia indicata è la pubblicazione dei dati sul darknet.

Per collocare un episodio nel fascicolo svizzero, il riferimento temporale è quello riportato dalle autorità: gli attacchi attribuiti a KillSec contro diverse aziende svizzere sono compresi tra ottobre 2023 e giugno 2025, mentre il procedimento penale contro ignoti è stato avviato nel luglio 2025. La cronologia aiuta a confrontare i fatti, ma il procedimento è ancora in corso.

La sequenza consente anche di non confondere il sequestro dei server con l'esito dell'inchiesta. L'operazione internazionale ha portato ad arresti, perquisizioni e recupero di dati; sul piano svizzero, invece, restano indicati reati ipotizzati come sottrazione di dati, accesso abusivo, danneggiamento di dati ed estorsione. Il riferimento alle criptovalute riguarda la richiesta di riscatto e non va confuso con gli strumenti dedicati ai conti bancari in Svizzera.

Per completare la lettura con uno strumento del portale, usa il calcolatore stipendio.

Fonte: swissinfo.ch