由德国警方主导的多国联合执法行动“Operation KillSwitch”查封了数据勒索集团 KillSec 的暗网泄露站与核心服务器，逮捕三名嫌疑人，其中被指控为该集团主要运营者的是一名 16 岁少年。执法部门扣押了至少 110TB 数据，并控制了 5 台中央服务器。
事件概述
根据 Europol 与汉堡警方的通报，行动由汉堡州刑警局和汉堡检察院主导，德国联邦刑警局参与，比利时、芬兰、希腊、荷兰、罗马尼亚、西班牙、瑞士、英国与美国的执法机构共同参加，Europol 与 Eurojust 负责协调，Bitdefender 和 Group-IB 提供技术支持。
在 9 月 30 日的行动日中，执法人员在西班牙、希腊、罗马尼亚和英国搜查了 8 处住所，临时逮捕 3 人，控制 5 台服务器，并接管该集团运营的域名，把访问者重定向至执法查封公告页。KillSec 自 2024 年前后活跃，调查覆盖约 1000 起疑似攻击，其中至少 500 起已确认为成功入侵，至少 70 起针对政府机构。
技术细节
KillSec 的作案模式是典型的数据勒索：利用软件漏洞和配置薄弱的访问入口，尤其是暴露的云存储，进入目标系统后把敏感内部数据拷贝到自控基础设施，随后在暗网泄露站公布受害者名称，以数据公开相要挟索取赎金。若受害者未付款，窃得文件可能被免费放出。部分案例中该集团获得了大额赎金。
调查人员还发现，该集团使用人工智能来构建和维护其勒索基础设施，并用于筛选潜在受害者，说明 AI 已在勒索产业链的运营环节落地。集团内部存在明确分工，包括管理员、开发者、谈判者和附属成员。其中一名被指控为开发者的嫌疑人于 2026 年 8 月刚满 18 岁，部分违法行为发生在其未成年期间。
影响评估
美国司法部另行起诉荷兰籍嫌疑人 Fouad Eltibrizi（化名 Archduke），指控其在该集团中担任谈判者角色，已于 9 月 30 日在英国被捕，等待引渡至美国，最高面临 10 年监禁。起诉书中以首字母列出部分受害者，对应 I.D.O.（波多黎各，2025 年 3 月）、U.S.B.L.（华盛顿州，2025 年 3 月）与 A.A.（路易斯安那州，2025 年 9 月）。
Bitdefender 的统计显示，自 2024 年开始跟踪以来，该集团泄露站上出现过近 300 个受害者条目，其中 2025 年发布 126 个、2026 年发布 25 个。需要说明的是，泄露站条目数并不等于实际受害数量。由于 KillSec 目标选择偏向机会主义，官方尚未给出受害者的总体损失估算。
修复建议
对防守方而言，本案提供两点可操作启示：
- 云存储与远程访问面是这类集团的主要入口，应定期审计暴露的存储桶、共享链接与弱口令账号，关闭不必要的公网暴露；
- 勒索攻击往往先窃取数据再加密，因此仅靠备份不足以覆盖风险，需同时部署外传行为检测与数据外泄响应流程。
虽然本次执法重创了该集团的基础设施与人员，但同类数据勒索团伙具备快速重组能力，防御策略不宜依赖单一组织的消失。