Il capo della banda ransomware KillSec aveva 16 anni: cosa insegna davvero questo arresto

Il 30 settembre la polizia spagnola ha arrestato ad Alicante un ragazzo di 16 anni. Secondo gli investigatori era l’amministratore principale di KillSec, un gruppo ransomware che negli ultimi due anni ha colpito oltre 280 vittime confermate, su circa mille tentativi di attacco in tutto il mondo.

Non è un dettaglio di colore. È il punto centrale della notizia, e in Security Smart pensiamo valga la pena fermarsi a ragionarci, più che sulla cronaca dell’arresto in sé.

Cosa è successo

L’operazione, condotta dalla polizia tedesca di Amburgo insieme alle autorità spagnole, britanniche e rumene, ha portato a perquisizioni in otto sedi tra Spagna, Grecia, Romania e Regno Unito. Oltre al 16enne, sono stati fermati altri due sospetti poco più che ventenni, nel Regno Unito e in Romania; un quarto collaboratore, diventato maggiorenne solo ad agosto, è stato identificato ma non ancora arrestato per i reati commessi da minorenne.

Gli agenti hanno sequestrato cinque server centrali, oscurato i relativi domini e confiscato oltre 110 terabyte di dati rubati, oltre ad apparecchiature, telefoni e portafogli di criptovalute. Secondo quanto riportato da The Hacker News, una sola organizzazione catalana colpita dal gruppo avrebbe subito danni stimati attorno al milione di euro nel solo 2025.

KillSec operava dal 2024 come ransomware-as-a-service: non un’unica banda che attacca in prima persona, ma una piattaforma che altri criminali possono “affittare” per condurre i propri attacchi, dividendo poi il profitto con chi gestisce l’infrastruttura. Il modo in cui entravano nei sistemi delle vittime, secondo le prime ricostruzioni, non prevedeva nulla di particolarmente sofisticato: vulnerabilità software non corrette e spazi di archiviazione cloud configurati male, lasciati accessibili senza le dovute protezioni. Un dettaglio che gli investigatori sottolineano è che il gruppo si appoggiava a strumenti di intelligenza artificiale sia per costruire l’infrastruttura tecnica, sia per individuare i potenziali bersagli.

I settori più colpiti, secondo i dati raccolti dalla polizia spagnola, sono sanità, tecnologia e servizi alle imprese: non colossi industriali, ma organizzazioni di dimensioni medie e piccole, spesso senza un reparto IT interno.

Perché questa storia riguarda le PMI

Quando parliamo di ransomware in formazione, una delle resistenze più comuni che incontriamo è: “siamo troppo piccoli per interessare a qualcuno”. Il caso KillSec dice l’esatto contrario, e lo dice in modo molto concreto.

Chi c’era davvero dietro gran parte di quei mille attacchi non era un gruppo di professionisti con anni di esperienza, ma un minorenne che affittava un servizio pronto all’uso, puntando su falle note e configurazioni cloud lasciate aperte per distrazione. Non serve essere un obiettivo “interessante” in senso strategico: basta avere una porta lasciata aperta, ed è esattamente quello che capita spesso a scuole, studi professionali, piccole aziende e associazioni che gestiscono dati su cloud pubblici (Google Drive, OneDrive, servizi di backup) senza aver mai verificato chi può davvero accedervi.

Il modello ransomware-as-a-service ha abbassato drasticamente la soglia d’ingresso in questo tipo di criminalità: non occorre più saper scrivere codice malevolo, basta avere accesso a una piattaforma già pronta e un elenco di obiettivi vulnerabili, individuati sempre più spesso con l’aiuto dell’intelligenza artificiale. Questo significa, in pratica, che il numero di soggetti potenzialmente in grado di colpire la vostra organizzazione è molto più ampio di quanto si pensi.

Cosa fare, in pratica

• Verificate chi può accedere ai vostri archivi cloud. Controllate periodicamente i permessi di condivisione su Drive, OneDrive, SharePoint e servizi di backup: cartelle condivise “con chiunque abbia il link” sono esattamente il tipo di accesso mal protetto che gruppi come KillSec sfruttano per primo.
• Mantenete aggiornati i sistemi esposti su internet. Server di posta, portali web, VPN e pannelli di amministrazione vanno aggiornati appena disponibile una patch: le vulnerabilità note e non corrette restano la porta d’ingresso più usata, non serve uno zero-day.
• Fate un backup che l’attaccante non possa raggiungere. Una copia dei dati offline o su un sistema separato, non collegata in modo permanente alla rete aziendale, è ciò che fa la differenza tra un incidente gestibile e un riscatto da pagare.
• Non dimenticate la parte normativa. Se l’attacco comporta l’esfiltrazione di dati personali, scatta l’obbligo di valutazione e, nei casi previsti, di notifica al Garante entro 72 ore: un piano di risposta agli incidenti già scritto in anticipo evita di doverlo improvvisare sotto pressione.
• Portate questo caso in formazione. Raccontare che dietro un attacco può esserci un adolescente con un abbonamento a un “kit” criminale, più che un’organizzazione di super-esperti, aiuta a far capire a titolari e dipendenti perché “siamo troppo piccoli” non è una protezione.

Matteo Gianniello — Consulente privacy e cyber security