killsec

KillSec（キルセック）の正体と来歴

KillSecは、RansomLookの記録では2024年3月21日がリークサイトへの初出で、連絡手段の記録はない[s1]。sosransomware.comによれば、活動の起点は2023年秋の最初のTelegram投稿で、そこでは「ネットワーク侵入」「Web侵入」「マルウェア作成」の技能を持つ人材を募っていた[s5]。同サイトはAnonymousの旗印の下で生まれたハクティビスト色の強い集団が、金銭目的の活動へ移行したと位置づけている[s5]。2024年6月にはRaaS（Ransomware as a Service）の提携プログラムを正式に開始したとされる[s5]。一方、Eurojustは同グループが2024年から活動していたと説明している[s4]。拠点については、投稿の話題・言語・思想から東欧・ロシア圏と分析され、英語とロシア語の二言語で発信していたという[s5]。

RaaSの仕組みは、C++製の「高度なロッカー」と、Tor経由の管理パネルで構成されていた。パネルにはリアルタイム統計、チャット機能、ビルドツールがあり、提携者は専門知識なしに攻撃を設定・実行できた[s5]。参加費は250ドルで、身代金の12%を手数料として取る条件だった。参加は「信頼できる者」に限られていた[s5]。さらに「ペンテスト」と称する不正アクセス提供、OSINTサービスの悪用も手がける複合的なサービス提供者として描かれている[s5]。運営体制については、Eurojustが管理者、開発者、交渉担当、提携者といった役割の容疑者を特定したと述べている。管理者かつ主犯格は10代の少年（16歳）とされ、開発者は最近18歳になった人物で、一部の犯行時は未成年だった[s4]。構成員は偽名を使い、暗号化メッセージングで連絡を取っていた[s4]。

手口

Eurojustは、KillSecが特にクラウドストレージに関わる、設定の甘いアクセスポイントを突いて侵入したと説明している[s4]。侵入後はデータを窃取して自らのインフラにコピーし、支払いがなければ公開すると脅した。証拠として被害者にはサンプルが送られた。支払いがない場合は、盗んだファイルが無料でダウンロードできる状態にされた[s4]。sosransomware.comも、ブラジルの医療ソフト事業者MedicSolutionへの攻撃で、Resecurityの分析として設定不備のあるAWS S3バケットの悪用を挙げている。高度な侵入手法より設定不備を狙う「低い枝の果実」型だと評している[s5]。公開記事ではランサムウェアの使用より恐喝が中心だったともされる[s5]。一方、Aviatrixは、ソフトウェアの脆弱性や防御の弱いエッジ機器を突いて侵入し、データを窃取して恐喝に用いたと記し、ランサムウェアの展開、権限昇格、横展開も挙げている。ただし権限昇格と横展開は推定の扱いである[s6]。Aviatrixはまた、インフラ構築や被害者選定にAIを使ったと述べている[s6]。

sosransomware.comがMITRE ATT&CKに基づく可能性の高い手法として挙げたのは、T1650、T1078、T1102、T1021、T1059、T1213、T1005である[s5]。Aviatrixは、T1190、T1078、T1041、T1486、T1567、T1083、T1587.001、T1589.001を対応づけている[s6]。2024年11月に主要なTelegramチャンネルを失った後は予備チャンネルへ切り替え、Tor経由のサイトでの公開を続けた[s5]。今後の機能として、DDoSツール、電話発信機能、高度なスティーラーの開発が予告されていた[s5]。

標的と主な被害

ransomware.liveが記録した242件の被害を分析したsosransomware.comによると、被害はインドと米国に集中し、英国、ブラジル、ベルギーが続く。業種別では医療が14.9%（36件）で最多、技術13.6%、ビジネスサービス11.6%だった[s5]。提携者向け規約は重要インフラへの攻撃を禁じているが、実際には医療が最多の標的になっていた[s5]。2025年9月には、MedicSolution（ブラジル）への攻撃で34GB超・94,818ファイルが流出したとされ、同社の顧客である複数の医療機関にも影響が及び得る供給網型の攻撃だった。同月には米国のArcher Health、ペルーのSuiza Lab、コロンビアのGoTelemedicinaとeMedicoERPも攻撃されたとされる[s5]。Aviatrixは、被害に少なくとも70のドイツ組織が含まれると記している[s6]。本資料群に日本の組織名や時期の記述はない。

動向

2026年9月、欧州刑事警察機構（Europol）の支援のもと、Eurojustが調整した9か国による国際作戦でKillSecが摘発された[s4]。Eurojustは、被害が約1,000件に上ると説明している[s4]。ベルギー、ドイツ、ギリシャ、ルーマニアは共同捜査チームを設置し、容疑者の特定、インフラの所在確認、資金の流れの追跡を進めた[s4]。作戦の結果、3人が逮捕され、スペイン、ギリシャ、英国、ルーマニアで8か所の家宅捜索が行われた。少なくとも110テラバイトの窃取データが押収され、被害者のデータを保管していた5台のサーバーとKillSecが運用するドメインも押収された[s4]。Aviatrixはこの作戦を「Operation KillSwitch」と呼び、関与国を10か国、成功した攻撃を約500件とし、押収対象にダークウェブのリークサイトを含めている[s6]。Eurojustの記述（9か国、約1,000件）とは数字が異なる[s4][s6]。当局は押収した機器とデータの解析、資金の追跡を続け、他の被害者や攻撃、関与者の特定につなげるとしている[s4]。