ランサムウェア集団「KillSec」の主導者とみられる16歳を逮捕、国際捜査でリークサイトとサーバーを押収

要点

• ドイツ・ハンブルク警察主導の国際共同捜査により、ランサムウェア集団「KillSec」の主導者とされる16歳の少年がスペインで逮捕された。

• 英国やルーマニアでも20代の容疑者2人が拘束され、押収されたリークサイトやサーバーから少なくとも110TBのデータが保護された。

• 捜査対象の攻撃は世界で約1000件に上り、これまでに約500件で侵入や情報窃取の被害が発生したことが確認されている。

• クラウドストレージの不備などを突いてデータを盗み出し、暴露を盾に身代金を要求する手口に対し、欧米の捜査機関と民間セキュリティ企業が連携して包囲網を敷いた。

• ドイツのハンブルク警察および検察当局は2026年10月1日、国際的なランサムウェア（身代金要求型不正プログラム）犯罪集団「KillSec（キルセック）」の主導者とみられる16歳の少年をスペインで逮捕したと発表した。欧州刑事警察機構（Europol）や米連邦捜査局（FBI）などが参加する国際共同作戦により、グループの活動拠点となっていたダークウェブ上のリークサイトや複数のサーバーも押収されている。

• 今回の作戦ではスペインのほか英国やルーマニアでも容疑者が拘束され、押収されたインフラからは少なくとも110テラバイト（TB）に及ぶデータが保護されたという。

国際共同作戦による摘発と主要メンバーの拘束

発表によると、ハンブルク当局が主導する国際捜査チームは2026年9月30日に一斉検挙を実施した。スペインでは治安警備隊（Guardia Civil）とカタルーニャ州警察（Mossos d'Esquadra）がアリカンテ県で16歳の少年を拘束し、自宅およびホテル内のオフィスを家宅捜索した。現地当局はこの少年をKillSecの管理者であり、主導的な最高運営者とみている。

Europolの広報担当者がロイターに語った内容によると、同日には英国とルーマニアでもそれぞれ20代の容疑者が1人ずつ拘束された。ルーマニアの組織犯罪テロ捜査局（DIICOT）はブカレストとヴァスルイ県にある住宅4カ所を捜索し、24歳の男を拘束した。男は組織的犯罪集団の結成や不正アクセス、データの不正転送、脅迫などの容疑で捜査を受けており、現地裁判所に30日間の身柄拘束が請求された。また、米国プエルトリコの連邦検察およびFBIサンフアン支局も作戦に加わっており、プエルトリコ当局は英国で逮捕された男の身柄引き渡しを請求している。

捜査当局はKillSecの組織構造として「管理者」「開発者」「交渉役」「アフィリエイト（攻撃ツールを利用して標的を攻撃する外部協力者）」という4つの役割を特定している。このうち開発者とされる人物は2026年8月に18歳を迎えたばかりで、一部の犯行当時は未成年だったとみられている。この開発者はすでに身元が特定されているものの、現時点で逮捕には至っていない。なお、英国とルーマニアで拘束された容疑者2名の具体的な担当役割について、当局は公式発表で明言していない。

サーバーインフラの制圧と110TBのデータ保護

捜査チームはスペイン、ギリシャ、英国、ルーマニアの4カ国にまたがり、計8件の家宅捜索を実施した。一連の作戦を通じて、KillSecが被害組織を脅迫するために用いていたダークウェブ上のリークサイト（盗み出した機密データを公開すると脅迫する暴露用サイト）を制圧した。これにより、少なくとも110TBのデータがさらなる不正アクセスから保護されたとしている。

ハンブルクの捜査当局は、KillSecのメインサーバーを含む5台のサーバーをシャットダウンした。これらのサーバーには被害組織から不正に持ち出されたデータが保管されていたという。また、グループが運用していた5つのドメインに対して警察による差し押さえ通知が掲示された。

スペイン国内の捜索現場では、コンピュータ機器やスマートフォン、暗号資産（仮想通貨）ウォレットなどが押収された。スペイン警察の初期分析によると、押収されたウォレットからは一部の被害者が支払った身代金と合致する取引履歴が確認されている。

1枚の画像から始まった2025年からの追跡

KillSecに対する国際的な捜査は2025年初頭から本格化した。スペイン治安警備隊は、国内に潜伏しているとみられる関係者の割り出しに向けてFBIサンフアン支局との協力を開始した。捜査員はわずか1枚のプロフィール画像を手がかりに容疑者の絞り込みを進め、アリカンテ県に住む少年の特定に至った。

一方、カタルーニャ州警察も2025年初頭、カタルーニャ現地の組織が受けたサイバー攻撃について独自捜査を進めていた。この攻撃による被害額は約100万ユーロ（約1億6000万円相当）に上り、KillSecの関与が疑われていた。

複数国にわたる被害の拡大を受け、Europolおよび欧州司法機構（Eurojust）が各国の警察・司法当局間の連携を調整した。さらに、民間セキュリティ企業のBitdefenderとGroup-IBが技術支援を提供し、グループの特定とインフラ遮断を後押しした。

クラウドの不備を狙う手口と世界約1000件の被害

ハンブルク警察によると、KillSecはソフトウェアの脆弱性や、特にクラウドストレージをはじめとするアクセス管理が不十分なポイントを悪用して組織の内部ネットワークに侵入していた。

侵入に成功した攻撃者は、機密性の高い内部データを自らが管理するサーバーへと不正に複製・転送した。その後、ダークウェブ上のリークサイトに被害組織の名称を掲載し、期限内に身代金を支払わなければ盗み出したデータを一般公開すると脅迫する手口を用いていた。被害者が支払いを拒否した場合には、盗難データが無償ダウンロードとして公開されることもあったという。

当局によると、今回の捜査が対象としているKillSecによる攻撃は世界中で約1000件に上る。そのうち約500件で実際にネットワークへの侵入やデータ窃取が成功していたことが判明している。