สรุปสั้น
ตำรวจในสเปนจับกุมเยาวชนอายุ 16 ปีที่เจ้าหน้าที่สืบสวนต้องสงสัยว่าเป็นผู้ควบคุมกลุ่มแรนซัมแวร์ KillSec ซึ่งถูกกล่าวหาว่าขโมยข้อมูลจากองค์กรต่าง ๆ แล้วข่มขู่ว่าจะเผยแพร่บนเว็บ leak หากไม่ยอมจ่ายค่าไถ่ เยาวชนรายนี้เป็นหนึ่งใน 3 คนที่ถูกจับเมื่อวันที่ 30 กันยายน ซึ่งเป็นวันเดียวกับที่ตำรวจเข้าควบคุมเว็บไซต์ดังกล่าว โดยเจ้าหน้าที่ระบุว่าเขาคือผู้ดูแลระบบและผู้ปฏิบัติการหลักของ KillSec ปฏิบัติการครั้งนี้นำโดยตำรวจและอัยการเมืองฮัมบวร์ก ประเทศเยอรมนี ร่วมกับหน่วยงานหลายชาติ
ผู้ต้องสงสัยอีก 2 รายอยู่ในวัย 20 ต้น ๆ รายหนึ่งถูกจับในอังกฤษ อีกรายในโรมาเนีย โดยอัยการสหรัฐฯ ในเปอร์โตริโกและสำนักงาน FBI ที่เมืองซานฮวนก็มีส่วนร่วมในปฏิบัติการ และเปอร์โตริโกได้ยื่นขอส่งตัวผู้ต้องสงสัยที่ถูกจับในอังกฤษเป็นผู้ร้ายข้ามแดน เจ้าหน้าที่เข้าค้นทั้งหมด 8 จุดในสเปน กรีซ อังกฤษ และโรมาเนีย ยึดอุปกรณ์คอมพิวเตอร์ โทรศัพท์ และกระเป๋าเงินคริปโท พร้อมปิดเซิร์ฟเวอร์ 5 เครื่องรวมถึงเซิร์ฟเวอร์หลักของกลุ่ม และปกป้องข้อมูลอย่างน้อย 110 เทราไบต์บนเว็บ leak ไม่ให้ถูกเข้าถึงต่อ
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 1 ตุลาคม 2569 ว่า ตำรวจฮัมบวร์กเปิดเผยการระบุตัวเยาวชนรายนี้ว่าเป็นผู้ดูแลระบบที่ต้องสงสัยของ KillSec โดยหน่วย Guardia Civil และ Mossos d’Esquadra ซึ่งเป็นตำรวจสเปนทั้งคู่ ได้ควบคุมตัวเขาในจังหวัดอาลีกันเต พร้อมเข้าค้นบ้านและสำนักงานแห่งหนึ่งในโรงแรม แถลงการณ์ร่วมของทั้งสองหน่วยระบุว่าเขาเป็นหนึ่งในผู้ดูแลของกลุ่มและน่าจะเป็นผู้ดูแลหลัก ขณะที่ในโรมาเนีย อัยการจากหน่วย DIICOT ซึ่งดูแลคดีองค์กรอาชญากรรมและการก่อการร้าย ได้ควบคุมตัวชายวัย 24 ปีเมื่อวันที่ 30 กันยายน และเข้าค้น 4 บ้านในบูคาเรสต์และเขตวาสลุย
เจ้าหน้าที่สืบสวนระบุผู้ต้องสงสัยใน 4 บทบาท ได้แก่ ผู้ดูแลระบบ นักพัฒนา ผู้เจรจาต่อรอง และแอฟฟิลิเอต (พันธมิตรภายนอกที่นำเครื่องมือแรนซัมแวร์ของกลุ่มไปโจมตี) โดยผู้ต้องสงสัยที่เป็นนักพัฒนาเพิ่งอายุครบ 18 ปีในเดือนสิงหาคม และยังเป็นผู้เยาว์ในช่วงที่เกิดการกระทำผิดบางส่วน เขาถูกระบุตัวแล้วแต่ยังไม่ถูกจับกุม การสืบสวนของ Guardia Civil เริ่มต้นในปี 2025 จากความร่วมมือกับ FBI ที่ซานฮวน เพื่อตามหาผู้เกี่ยวข้องกับ KillSec ที่อาจอาศัยอยู่ในสเปน โดยเริ่มจากภาพโปรไฟล์เพียงภาพเดียวจนสามารถระบุตัวผู้ต้องสงสัยได้ ส่วน Mossos d’Esquadra เปิดคดีของตนเองหลังเกิดการโจมตีองค์กรในแคว้นกาตาลุญญาช่วงต้นปี 2025 ซึ่งสร้างความเสียหายเกือบ 1 ล้านยูโร ทั้งนี้ หน่วยงาน Europol และ Eurojust เป็นผู้ประสานงาน โดยมีบริษัท Bitdefender และ Group-IB สนับสนุนการสืบสวน
วิธีการรีดทรัพย์ของ KillSec
ตามข้อมูลของตำรวจฮัมบวร์ก KillSec เข้าถึงองค์กรด้วยการใช้ช่องโหว่ซอฟต์แวร์และจุดเข้าถึงที่ป้องกันหละหลวม โดยเฉพาะที่เก็บข้อมูลบนคลาวด์ จากนั้นสมาชิกจะคัดลอกข้อมูลภายในที่อ่อนไหวไปยังเซิร์ฟเวอร์ที่กลุ่มควบคุม แล้วประกาศชื่อเหยื่อบนเว็บ leak บนดาร์กเว็บ พร้อมขู่เผยแพร่ข้อมูลหากไม่จ่ายค่าไถ่ กรณีที่เหยื่อไม่จ่าย ไฟล์ที่ขโมยมาอาจถูกเปิดให้ดาวน์โหลดฟรี อัยการ DIICOT ระบุว่าสมาชิกยังซื้อข้อมูลล็อกอินที่วางขายบนดาร์กเว็บ ส่งตัวอย่างข้อมูลของเหยื่อเองเป็นหลักฐาน และขู่ขายข้อมูลให้กลุ่มอาชญากรอื่นหากไม่ได้ค่าไถ่
ที่น่าสนใจคือ เจ้าหน้าที่พบว่ากลุ่มนี้ใช้ AI ช่วยสร้างและดูแลโครงสร้างพื้นฐาน รวมถึงใช้ค้นหาเหยื่อเป้าหมาย แม้แถลงการณ์จะไม่ให้รายละเอียดเพิ่มเติม ด้านบริษัท Rapid7 เคยรายงานในปี 2025 ว่า KillSec เริ่มต้นจากการเป็นกลุ่ม hacktivist ที่เคลื่อนไหวมาตั้งแต่อย่างน้อยปี 2021 ก่อนหันมาทำแรนซัมแวร์ในเดือนตุลาคม 2023 โดยแรนซัมแวร์ KillSecurity เวอร์ชัน 2.0 และ 3.0 ออกแบบมาเพื่อเข้ารหัสไฟล์ และในเดือนมิถุนายน 2024 กลุ่มได้เริ่มเสนอแรนซัมแวร์ให้แอฟฟิลิเอตในรูปแบบ ransomware-as-a-service
ผลกระทบ
การสืบสวนครอบคลุมการโจมตีที่ต้องสงสัยราว 1,000 ครั้งทั่วโลก ซึ่งยืนยันว่าสำเร็จแล้วราว 500 ครั้ง ขณะที่ตำรวจสเปนประเมินจำนวนเหยื่อไว้มากกว่า 280 ราย และ Europol ระบุว่ากลุ่ม “ได้รับเงินค่าไถ่จำนวนมาก” การทลายครั้งนี้ถือเป็นการปิดกลุ่มแรนซัมแวร์ได้สำเร็จ แต่ก็สะท้อนภาพที่น่ากังวลว่าผู้ก่อเหตุระดับแกนนำอาจเป็นเพียงเยาวชน และการใช้ AI ช่วยดำเนินการทำให้กลุ่มขนาดเล็กสร้างความเสียหายได้ในวงกว้าง เจ้าหน้าที่เรียกกลุ่มนี้ว่ากลุ่มแรนซัมแวร์ แต่พฤติกรรมที่บรรยายจริงคือการขโมยข้อมูลและรีดทรัพย์ ซึ่งเป็นแนวโน้มที่กลุ่มอาชญากรไซเบอร์จำนวนมากกำลังใช้
คำแนะนำ
องค์กรควรลดความเสี่ยงจากรูปแบบการโจมตีของ KillSec ด้วยการเร่งแพตช์ช่องโหว่ซอฟต์แวร์ที่เปิดสู่อินเทอร์เน็ต ตรวจสอบและปิดจุดเข้าถึงที่ตั้งค่าหละหลวม โดยเฉพาะที่เก็บข้อมูลบนคลาวด์ (cloud storage) ที่เปิดสาธารณะโดยไม่ตั้งใจ บังคับใช้การยืนยันตัวตนหลายขั้น (MFA) เฝ้าระวังการคัดลอกข้อมูลออกผิดปกติ (data exfiltration) และสำรองข้อมูลแบบออฟไลน์เพื่อรับมือกรณีถูกเข้ารหัส นอกจากนี้ควรมีแผนรับมือเหตุและช่องทางประสานงานกับหน่วยงานบังคับใช้กฎหมายไว้ล่วงหน้า เพราะแม้กลุ่มหนึ่งถูกทลาย แต่แอฟฟิลิเอตและเครื่องมือยังอาจถูกนำไปใช้ต่อ