Polícia apreende 110 TB de dados roubados pelo ransomware KillSec
Uma operação internacional contra o grupo de ransomware KillSec resultou na apreensão de cinco servidores que armazenavam ao menos 110 terabytes de informações obtidas de vítimas. Três pessoas foram presas. Entre elas está um adolescente de 16 anos, apontado pelas autoridades como administrador e principal operador da organização criminosa.
A ação foi coordenada pela Eurojust, com apoio da Europol, e contou com a participação de autoridades de nove países: Bélgica, Finlândia, Alemanha, Grécia, Romênia, Espanha, Suíça, Reino Unido e Estados Unidos. Durante a investigação, foram realizadas oito buscas na Espanha, na Grécia, no Reino Unido e na Romênia.
Além dos equipamentos, os investigadores assumiram o controle de domínios usados pelo KillSec, incluindo o site em que o grupo divulgava arquivos extraídos de organizações atacadas. A interrupção dessa estrutura pode dificultar a publicação de dados e reduzir a capacidade dos criminosos de usar as informações roubadas como instrumento de pressão.
Ativo desde 2024, o KillSec é associado a quase mil incidentes de ransomware em diferentes países. O grupo empregava a chamada dupla extorsão: primeiro copiava arquivos das vítimas e, em seguida, cifrava sistemas ou dados. Para exigir pagamento, ameaçava divulgar o material roubado caso o resgate não fosse pago.
Esse método amplia o impacto de um ataque. Mesmo que uma organização consiga recuperar sistemas a partir de cópias de segurança, ainda pode enfrentar o risco de exposição de informações confidenciais, pessoais ou estratégicas. A ameaça pública também pode trazer consequências legais, financeiras e reputacionais, além de comprometer a confiança de clientes e parceiros.
Entre os alvos identificados estavam empresas de tecnologia ligadas à área da saúde. Nesse setor, a indisponibilidade de sistemas pode afetar diretamente o atendimento, atrasar procedimentos e dificultar o acesso a informações necessárias para o cuidado dos pacientes. Por isso, incidentes cibernéticos em hospitais e fornecedores de tecnologia médica exigem resposta rápida e planejamento prévio.
Os 110 terabytes apreendidos representam o conjunto de dados que permanecia armazenado nos servidores do grupo. A quantidade ajuda a dimensionar a operação e mostra como informações exfiltradas podem ser mantidas por criminosos para sustentar novas ameaças, negociar com as vítimas ou alimentar a divulgação de arquivos roubados.
A Europol contribuiu com relatórios sobre as atividades do KillSec e apoiou a coordenação entre investigadores e empresas do setor privado. Também acompanhou movimentações de criptomoedas relacionadas à operação, uma frente importante para identificar pagamentos, rastrear recursos e buscar possíveis vínculos entre os envolvidos.
A apreensão dos servidores não elimina, por si só, todos os riscos para as organizações atingidas. Arquivos podem ter sido copiados para outros locais, compartilhados com terceiros ou armazenados fora da infraestrutura desmontada. As vítimas precisam avaliar quais informações foram acessadas, identificar possíveis obrigações de notificação e manter o monitoramento de sistemas e contas.
Para reduzir os danos de ataques semelhantes, empresas devem manter cópias de segurança isoladas e testadas, aplicar atualizações de segurança e restringir o acesso a dados sensíveis. O uso de autenticação multifator, a segmentação de redes e o controle de privilégios também ajudam a limitar a movimentação de invasores caso uma conta seja comprometida.
Um plano de resposta a incidentes pode acelerar decisões em momentos críticos. Ele deve prever quem será responsável por conter o ataque, preservar evidências, comunicar-se com autoridades e avaliar impactos sobre clientes e operações. Exercícios periódicos ajudam as equipes a reconhecer sinais de invasão e agir sem depender de improvisação.
Também é essencial que funcionários saibam identificar mensagens suspeitas, tentativas de roubo de credenciais e solicitações incomuns de acesso. Embora medidas preventivas não garantam proteção absoluta, a combinação de tecnologia, processos claros e treinamento reduz a probabilidade de invasões e melhora a capacidade de recuperação.
A ação contra o KillSec representa um golpe na infraestrutura usada para armazenar e divulgar dados roubados. Ao mesmo tempo, reforça que o ransomware deixou de ser apenas uma ameaça à disponibilidade dos sistemas: a extração e a possível exposição de informações tornaram-se parte central da extorsão digital.