Polícia derruba plataforma de phishing-as-a-service Kratos e prende desenvolvedor
Uma operação conjunta entre autoridades da Alemanha e dos Estados Unidos desmantelou a infraestrutura central do Kratos, serviço de phishing por assinatura usado por cerca de 1.800 clientes criminosos para atacar vítimas em ao menos 35 países. A plataforma automatizava a criação de páginas falsas de login da Microsoft para roubar credenciais e sequestrar contas, chegando a rodar cerca de 15 mil campanhas por mês. O desenvolvedor do serviço foi preso na Indonésia e mais de 200 servidores foram apreendidos.
O Kratos era descrito pelas próprias autoridades como um dos serviços criminosos de phishing mais usados do mundo, operando no modelo phishing-as-a-service (PhaaS): em vez de cada golpista montar sua própria infraestrutura, o Kratos vendia acesso a um kit pronto que gerava páginas de login falsas — sobretudo imitando a Microsoft — para qualquer assinante lançar campanhas em minutos. A operação policial coordenada entre Alemanha e Estados Unidos derrubou essa infraestrutura central e prendeu o desenvolvedor técnico na Indonésia, apreendendo mais de 200 servidores.
Por dentro, o serviço funcionava como um SaaS criminoso: cerca de 1.800 clientes pagantes tinham acesso a um painel para configurar campanhas, e o sistema rodava aproximadamente 15 mil campanhas de phishing por mês, cada uma potencialmente atingindo milhares de destinatários em pelo menos 35 países. As credenciais Microsoft roubadas eram o produto final — usadas para sequestrar contas corporativas e pessoais, servindo de porta de entrada para fraude financeira, roubo de dados corporativos e novos ataques a partir da conta comprometida. A receita estimada do serviço desde 2024 passa de 300 mil euros.
O modelo PhaaS é perigoso justamente porque separa quem desenvolve a ferramenta de quem a opera: derrubar a infraestrutura central, como ocorreu aqui, interrompe de uma vez milhares de campanhas em andamento, mas não impede que afiliados migrem para outro kit equivalente já no mercado — a demanda por essas ferramentas não desaparece com uma prisão.
Para se proteger, o essencial é desconfiar de qualquer página de login da Microsoft (ou de qualquer serviço) acessada por link recebido em e-mail, e sempre digitar o endereço manualmente ou usar um favorito salvo. Habilitar autenticação multifator resistente a phishing (chaves de segurança FIDO2/passkeys) é a defesa mais eficaz contra esse tipo de kit, já que senha isolada — e mesmo OTP simples — pode ser capturada e reutilizada em tempo real por essas plataformas. Empresas devem monitorar logins anômalos após períodos de campanhas de phishing conhecidas e tratar a notícia de uma derrubada como alívio temporário, não como fim da ameaça.