Les autorités allemandes et américaines ont démantelé l’infrastructure centrale de Kratos, un service de phishing-as-a-service spécialisé dans les fausses pages d’authentification Microsoft. Plus de 200 serveurs ont été neutralisés et son développeur présumé arrêté en Indonésie.
La plateforme Kratos ne servira plus à lancer de nouvelles campagnes de phishing. Le Bundeskriminalamt allemand et la cellule spécialisée dans la cybercriminalité du parquet général de Francfort, la ZIT, ont annoncé le démantèlement de son infrastructure avec l’appui des autorités américaines. Son développeur et administrateur technique présumé a été interpellé en Indonésie. Les enquêteurs indiquent avoir rendu inopérants plus de 200 serveurs, entraînant l’arrêt complet du service.
De fausses pages Microsoft proposées à la location
Kratos fonctionnait comme un kit prêt à l’emploi permettant de créer et d’administrer des pages d’authentification imitant celles de Microsoft. Les victimes étaient invitées à y saisir leur adresse électronique et leur mot de passe. Le dispositif pouvait également récupérer le cookie de session généré lors de la connexion. Ce cookie permettait ensuite aux attaquants d’accéder au compte en contournant l’authentification à deux facteurs.
Microsoft avait déjà identifié Kratos sous le nom SneakyLog dans des campagnes de phishing diffusées au début de l’année 2026. Le kit était notamment utilisé avec des documents personnalisés et des codes QR redirigeant vers de fausses pages Microsoft 365.
Environ 15 000 campagnes par mois
L’infrastructure était commercialisée selon un modèle de phishing-as-a-service. Les clients pouvaient acheter une licence en cryptomonnaies, puis gérer leur compte et leurs campagnes depuis un site dédié et une boutique Telegram.
Les autorités estiment que plus de 1 800 cybercriminels ont acquis le kit. Ils auraient lancé environ 15 000 campagnes de phishing chaque mois, chacune étant susceptible de toucher plusieurs milliers de destinataires. Kratos aurait généré plus de 300 000 euros depuis 2024. Le nombre de victimes recensées depuis la fin de l’année 2024 se compterait en centaines de milliers, dans plus de 30 pays, principalement en Europe et aux États-Unis.
Des comptes utilisés pour infiltrer les entreprises
Les identifiants et cookies récupérés pouvaient être revendus, réutilisés dans d’autres opérations de phishing ou employés pour compromettre des environnements professionnels. Le BKA souligne notamment le risque de propagation à travers les services Microsoft déployés à l’échelle d’une entreprise. Un compte compromis pouvait ainsi donner accès à des messageries, à des documents ou à d’autres utilisateurs de la même organisation.
Microsoft doit prévenir les utilisateurs identifiés comme victimes des campagnes associées à Kratos.
