KillSec: tre arresti e 110 terabyte di dati rubati

Contesto

In breve

• Tre arresti e otto perquisizioni in quattro Paesi
• Recuperati almeno 110 terabyte di dati rubati
• Attacchi a società svizzere tra ottobre 2023 e giugno 2025

Fatti chiave

• Gruppo → KillSec (o KillSecurity)
• Operazione → smantellamento di una struttura informatica
• Arresti → tre
• Perquisizioni → otto
• Paesi → Spagna, Grecia, Regno Unito e Romania
• Server sequestrati → cinque
• Dati recuperati → almeno 110 terabyte
• Attacchi → contro diverse società svizzere, tra ottobre 2023 e giugno 2025

Mercoledì una vasta operazione internazionale ha permesso di smantellare la struttura informatica utilizzata dal gruppo di ransomware KillSec, noto anche come KillSecurity. Il bilancio comprende tre arresti, otto perquisizioni in Spagna, Grecia, Regno Unito e Romania, il sequestro di cinque server e il recupero di almeno 110 terabyte di dati rubati.

L'indagine svizzera

Lo hanno reso noto l'Ufficio federale di polizia (fedpol) e il Ministero pubblico della Confederazione (MPC). Dall'estate del 2025 i due enti conducono un'inchiesta su una serie di attacchi contro diverse società svizzere, sferrati tra ottobre 2023 e giugno 2025. Il procedimento penale riguarda la sottrazione di dati, l'accesso abusivo a un sistema informatico, il danneggiamento di dati e l'estorsione.

Come funziona il ransomware

Il meccanismo descritto nella fonte segue una sequenza precisa. Gli autori entrano indebitamente nel sistema informatico della vittima, copiano ed estraggono i dati di interesse, poi crittografano i server. Solo dopo chiedono un riscatto in cambio della chiave di decrittazione; la richiesta viene spesso formulata in criptovaluta.

La doppia estorsione

KillSec pratica la cosiddetta doppia estorsione. Dopo la cifratura dei server, se l'azienda rifiuta di pagare, gli autori minacciano di pubblicare i dati sul darknet. Il rifiuto può dipendere, per esempio, da un backup effettuato prima della sottrazione: il ripristino dei dati non elimina, secondo la dinamica descritta, la minaccia di diffusione delle informazioni già copiate.

Fedpol e MPC hanno partecipato alle indagini coordinate da Europol ed Eurojust insieme ad altri sette Paesi. La comunicazione diffusa giovedì sottolinea la necessità della cooperazione tra partner nazionali e internazionali: «Data la natura internazionale della criminalità informatica - si legge in un comunicato diffuso giovedì - è essenziale una stretta cooperazione tra i diversi partner, sia a livello nazionale che internazionale».

Dettagli operativi

Il rischio non finisce con la cifratura

Per una società svizzera, la sequenza descritta separa due problemi. La crittografia dei server riguarda l'accesso ai sistemi; la copia e l'estrazione avvengono prima e alimentano la minaccia di pubblicazione. Il backup citato dalla fonte può quindi spiegare il rifiuto del riscatto, ma non cancella automaticamente la seconda leva usata dal gruppo. È la differenza tra recuperare i propri sistemi e impedire che i dati già sottratti vengano diffusi.

Un bilancio da leggere senza sovrainterpretazioni

Il riferimento ad almeno 110 terabyte riguarda il materiale recuperato nell'operazione. La fonte non attribuisce quel volume a una singola società svizzera, non indica l'identità delle aziende coinvolte e non riferisce eventuali pagamenti. Restare su questi dati evita di trasformare il bilancio dell'operazione in una stima dei danni per ogni vittima.

Anche la geografia va letta senza semplificazioni. L'inchiesta nasce da attacchi contro società svizzere, mentre l'operazione ha coinvolto quattro Paesi e ha previsto il sequestro di server. La partecipazione di fedpol e MPC, insieme a Europol, Eurojust e ad altri sette Paesi, mostra una catena investigativa distribuita oltre il solo territorio svizzero.

Il testo non indica i settori coinvolti. Il riferimento resta quindi circoscritto a diverse società svizzere; chi cerca un quadro distinto del tessuto produttivo può consultare le aziende che assumono.

Tool utili per massimizzare il netto

Per ridurre la perdita sul cambio, confronta il cambio CHF-EUR e le banche per frontalieri.

Punti chiave

Una procedura di lettura per le aziende

Per esaminare correttamente la notizia, chi lavora in una società svizzera può seguire una sequenza documentale senza aggiungere elementi non confermati.

Quattro controlli prima di trarre conclusioni

1. Separare le date. Gli attacchi indicati nell'inchiesta risalgono al periodo compreso tra ottobre 2023 e giugno 2025. L'indagine svizzera è condotta dall'estate del 2025. L'operazione di smantellamento è avvenuta mercoledì, mentre la comunicazione è stata diffusa giovedì.

2. Distinguere i luoghi. La fonte collega gli attacchi a diverse società svizzere e indica otto perquisizioni in Spagna, Grecia, Regno Unito e Romania. Non bisogna trasformare l'elenco dei Paesi dell'operazione nell'elenco delle sedi delle vittime.

3. Separare i numeri. Cinque sono i server sequestrati; almeno 110 terabyte sono i dati recuperati. Il testo non assegna il volume a una singola azienda e non quantifica un danno individuale.

4. Usare i termini del procedimento. La vicenda riguarda sottrazione di dati, accesso abusivo a un sistema informatico, danneggiamento di dati ed estorsione. Il riscatto, inoltre, è descritto come spesso richiesto in criptovaluta, non come un pagamento già effettuato.

Questa griglia evita anche di confondere una minaccia con un evento già avvenuto. La fonte riferisce che, in caso di rifiuto, KillSec minaccia di pubblicare i dati sul darknet; non riferisce che i dati siano stati effettivamente pubblicati. Allo stesso modo, il recupero dei server e dei dati è il risultato comunicato dell'operazione, non una misura dei danni subiti da ogni società.

Per altri indicatori della vita economica svizzera, il costo della vita in Svizzera è un percorso separato. Per un approfondimento sul reddito personale, usa il calcolatore stipendio.

Fonte: rsi.ch