欧州と米国の当局がKillSecのインフラを妨害する中、スペイン警察は、ランサムウェア集団KillSecの管理・運営に関与した疑いで、アリカンテで16歳のルーマニア人を逮捕した。KillSwitch作戦と呼ばれる9月30日の摘発では、スペイン、ギリシャ、ルーマニア、英国の8カ所を捜索し、盗まれたデータ少なくとも110テラバイトを確保した。捜査当局はこれまでに、世界で約1000件の攻撃を疑っており、このうち約500件は成功したとみている。英国とルーマニアでは20代の別の2人も逮捕されたほか、8月に18歳になった開発者の身元も特定されたが、逮捕には至っていない。英国在住のオランダ人で、Archdukeのハンドルネームを使っていたフアド・エルティブリジ容疑者は、9月16日にプエルトリコで起訴され、その後2週間以内に逮捕された。米国への身柄引き渡しを待つ同容疑者には、最長10年の刑が科される可能性がある。2024年ごろから活動しているKillSecは、ソフトウエアの脆弱性や、特にクラウドストレージなどの安全対策が不十分なアクセスポイントを悪用してデータを盗み、システムを暗号化する一方で盗んだファイルの公開を脅す二重恐喝を行った疑いがある。身代金は仮想通貨で要求されることが多かった。当局は現在、5台の中核サーバーと集団のドメインを管理下に置いており、ユーロポール（欧州刑事警察機構）の欧州サイバー犯罪センターの支援を受け、犯罪収益を追跡するとともに、押収した端末を調べている。支援には仮想通貨の追跡やデジタル・フォレンジックも含まれる。米連邦捜査局（FBI）によると、KillSecは2025年3月、プエルトリコでの侵害により盗んだ患者データのサンプルを公開し、7日間のカウントダウンが終了した後、約180ギガバイトのデータを公開した。英国の捜査当局は被害企業28社を特定し、マンチェスターでは25歳の容疑者を逮捕した。捜査では、KillSecが人工知能（AI）を使ってランサムウェアのインフラを構築・維持し、潜在的な被害者を特定していたことも判明した。