KillSec smantellato: 110 TB di dati sequestrati

Contesto

In breve

• 30 settembre 2026: smantellata la rete usata da KillSec
• Tre arresti e otto perquisizioni in quattro Paesi
• Recuperati almeno 110 terabyte di dati rubati
• MPC e fedpol coinvolti come partner operativi e strategici

Fatti chiave

• Pubblicazione → 1 ottobre 2026
• Procedimento penale → dal 31 luglio 2025
• Operazione → 30 settembre 2026
• Coordinamento internazionale → Europol ed Eurojust con altri 7 Paesi
• Arresti → tre individui
• Perquisizioni → otto, in Spagna, Grecia, Regno Unito e Romania
• Dati recuperati → almeno 110 terabyte
• Server sequestrati → cinque

Il 30 settembre 2026 un'operazione internazionale su larga scala ha permesso di smantellare una struttura informatica utilizzata dal gruppo di ransomware «KillSec». L'Ufficio federale di polizia fedpol e il Ministero pubblico della Confederazione, MPC, sono stati direttamente coinvolti come partner operativi e strategici. Il comunicato è stato pubblicato il 1 ottobre 2026.

L'intervento ha portato all'arresto di tre individui e al sequestro di prove e beni. Otto perquisizioni sono state eseguite in Spagna, Grecia, Regno Unito e Romania. Le autorità hanno recuperato almeno 110 terabyte di dati rubati e hanno sequestrato cinque server che il gruppo utilizzava per archiviare i dati delle proprie vittime. Il sequestro ha riguardato quindi sia l'infrastruttura di archiviazione sia altri elementi di prova.

Il fascicolo svizzero

Il MPC conduce dal 31 luglio 2025 un procedimento penale contro ignoti per sottrazione di dati, accesso abusivo a un sistema informatico, danneggiamento di dati ed estorsione. Nel comunicato sono indicati anche i riferimenti agli articoli 143, 143bis, 144bis e 156 del CP. Il fascicolo è nato dopo una serie di attacchi ransomware contro diverse società svizzere, attribuiti a KillSec, o «KillSecurity», tra ottobre 2023 e giugno 2025.

Le indagini sono state condotte a livello internazionale e coordinate da Europol ed Eurojust insieme ad altri 7 Paesi. fedpol e MPC hanno partecipato alle attività, mentre l'operazione di smantellamento si è svolta il 30 settembre 2026.

Il metodo della doppia estorsione

La fonte ricostruisce anche il funzionamento del ransomware. Gli autori accedono indebitamente al sistema della vittima, copiano ed estraggono i dati di interesse, quindi crittografano i server e chiedono un riscatto in cambio della chiave di decrittazione. Il pagamento è spesso richiesto in criptovaluta.

KillSec pratica la cosiddetta «doppia estorsione»: dopo la cifratura dei server, se l'azienda rifiuta di pagare, gli autori minacciano di pubblicare i dati sul darknet. La fonte cita come possibile motivo del rifiuto l'esistenza di un backup eseguito prima della sottrazione dei dati.

Dettagli operativi

Cosa significa per chi opera in Svizzera

Per chi vive o lavora in Svizzera, il punto operativo più concreto è la platea dei possibili bersagli. L'OFCS precisa che chiunque può esserlo: un ente pubblico, un'azienda o un privato. Non soltanto le imprese di importanza strategica, dunque. La segnalazione non è presentata come un passaggio riservato a grandi gruppi, ma come uno strumento per rafforzare le indagini e la lotta alla criminalità informatica.

Due rischi nello stesso attacco

La dinamica descritta dal comunicato combina blocco operativo ed esposizione dei dati. La crittografia dei server crea la richiesta di riscatto per ottenere la chiave; la copia e l'estrazione dei dati aprono invece la minaccia della pubblicazione sul darknet. Anche chi può rifiutare il pagamento, per esempio perché dispone di un backup precedente alla sottrazione, resta quindi esposto alla seconda pressione. Il testo descrive questo meccanismo e la risposta investigativa delle autorità.

Il riferimento alla criptovaluta delimita inoltre la natura della richiesta: il riscatto è collegato alla chiave di decrittazione. Il tema resta distinto dalle informazioni sui conti bancari in Svizzera: qui il punto è la sottrazione, la cifratura e la possibile divulgazione dei dati.

Prima e dopo il sequestro

Prima dell'operazione, la struttura informatica consentiva al gruppo di archiviare i dati delle vittime sui propri server. Dopo il sequestro, le autorità spiegano che interrompere il funzionamento della rete e sottrarre server e dati limita la capacità degli autori di proseguire le attività criminali. Il materiale sequestrato serve anche a raccogliere nuovi elementi di prova, a sostenere l'identificazione dei criminali informatici e a comprendere meglio il ruolo e il grado di coinvolgimento dei diversi attori.

Il colpo, però, non chiude il procedimento. Le indagini del MPC e di fedpol proseguono. La presunzione di innocenza si applica a tutti i partecipanti e il MPC non fornisce ulteriori informazioni sull'indagine in corso. Per il tessuto produttivo, la sola conclusione verificabile è quindi doppia: la cooperazione può interrompere un'infrastruttura, ma l'accertamento penale continua secondo il procedimento in corso.

Una risposta che passa dai Cantoni

Il lavoro preparatorio è stato svolto da fedpol sotto la direzione del MPC, in collaborazione con le polizie cantonali e l'OFCS. Gli investigatori hanno raccolto e analizzato informazioni dettagliate sul modus operandi della rete e hanno coordinato gli scambi con partner stranieri. Le risorse sulle aziende che assumono riguardano il mercato del lavoro; questo caso mostra invece come una minaccia digitale possa coinvolgere imprese e autorità su più livelli.

Tool utili per massimizzare il netto

Per ridurre la perdita sul cambio, confronta il cambio CHF-EUR e le banche per frontalieri.

Punti chiave

Cosa fare dopo un attacco

L'avviso dell'OFCS indica una linea d'azione precisa per chi subisce un attacco informatico in Svizzera: segnalare i fatti alle autorità competenti oppure sporgere denuncia direttamente alla polizia o al MPC. Il percorso vale per un ente pubblico, un'azienda e un privato, perché la fonte considera ogni soggetto un potenziale bersaglio.

Quattro passaggi indicati dalla fonte

1. Riconoscere il caso. Il ransomware descritto prevede accesso indebito al sistema, copia ed estrazione dei dati, cifratura dei server e richiesta di un riscatto, spesso in criptovaluta. La cosiddetta doppia estorsione aggiunge la minaccia di pubblicare i dati sul darknet quando la vittima non paga.

2. Scegliere il canale. La segnalazione può essere indirizzata alle autorità competenti. In alternativa, la denuncia può essere presentata direttamente alla polizia o al Ministero pubblico della Confederazione. L'OFCS richiama entrambe le possibilità e collega la segnalazione al rafforzamento delle indagini.

3. Attivare la cooperazione. I fatti comunicati contribuiscono al lavoro investigativo condotto da fedpol sotto la direzione del MPC, insieme alle polizie cantonali e all'OFCS. Le informazioni raccolte possono alimentare lo scambio con partner stranieri, una componente già utilizzata nelle indagini sul gruppo.

4. Considerare il seguito giudiziario. Le autorità proseguono nell'identificazione degli autori, negli arresti e, quando si trovano all'estero e le circostanze lo consentono, nella richiesta di estradizione in Svizzera. L'obiettivo indicato è anche ottenere la condanna penale.

Dopo la segnalazione

Il richiamo dell'OFCS non è limitato alle imprese di importanza strategica. Comprende enti pubblici, aziende e privati, cioè tutti i soggetti che la fonte considera potenziali bersagli. La segnalazione serve a rafforzare le indagini e, più in generale, a contrastare la criminalità informatica.

Il comunicato precisa che la presunzione di innocenza vale per tutti i partecipanti e che il MPC non fornirà per il momento ulteriori informazioni sull'indagine penale in corso. Le attività di MPC e fedpol, però, continuano. Per chi opera in Svizzera, la scelta indicata dall'OFCS resta concreta: segnalare l'attacco alle autorità competenti o sporgere denuncia alla polizia o al MPC.

Per orientarti sul quadro economico personale dopo aver consultato queste indicazioni, usa il calcolatore stipendio/imposte.

Fonte: admin.ch