A Agência Federal de Polícia Criminal da Alemanha e a unidade de crimes cibernéticos da promotoria de Frankfurt, junto com o escritório de campo do FBI em Dallas e a Procuradoria dos Estados Unidos para o Distrito Norte do Texas, anunciaram esta semana que desligaram o Kratos, descrito pelos investigadores como um dos kits de phishing criminoso mais usados do mundo. A operação, batizada de Olympus Blade, apreendeu mais de 200 servidores, transferiu o domínio da plataforma para o controle do FBI, e terminou com a prisão do suposto desenvolvedor e administrador técnico do Kratos na Indonésia.
Os números por trás da operação merecem atenção. Os investigadores estimam que cerca de 1.800 clientes pagantes usaram o Kratos para rodar aproximadamente 15.000 campanhas de phishing por mês, gerando centenas de milhares de vítimas em mais de 30 países, concentradas na Europa e nos Estados Unidos, desde o final de 2024. Acredita-se que os operadores tenham arrecadado pelo menos 300.000 euros apenas em taxas de assinatura.
Um Negócio de Assinatura, Não um Único Atacante
O que tornava o Kratos perigoso não era a novidade. Era a acessibilidade. Os clientes se cadastravam por um site dedicado e uma loja no Telegram, pagavam em criptomoedas, e recebiam um kit de phishing funcional sem precisar de nenhuma habilidade de programação. Esse é o modelo de phishing como serviço em sua forma mais pura: uma pequena equipe operacional constrói e mantém a infraestrutura, e milhares de criminosos independentes alugam o acesso para rodar suas próprias campanhas contra os alvos que escolherem.
O Kratos oferecia a esses clientes dois modos de operação. A opção mais simples era uma página PHP comum que apenas coletava o usuário e a senha que a vítima digitasse. A opção mais perigosa era um proxy reverso em Node.js criado para ficar entre a vítima e a página real de login da Microsoft, retransmitindo a troca de autenticação em tempo real. Esse segundo modo é o que se conhece como phishing de adversário no meio, ou AiTM. Ele não rouba apenas uma senha. Rouba o cookie de sessão que o Microsoft 365 emite depois de um login bem-sucedido, incluindo um concluído com autenticação multifator. Quem tiver esse cookie pode entrar na conta sem nunca precisar do segundo fator.
Por Que Eliminar um Fornecedor Não Elimina a Demanda
É tentador ler uma operação desse tamanho como uma vitória de contorno limpo. É uma vitória real, e 200 servidores a menos rodando infraestrutura ativa de phishing são 200 plataformas a menos disponíveis hoje. Mas os 1.800 clientes pagantes não eram clientes do Kratos especificamente. Eram clientes do roubo de cookies de sessão como serviço, e o Kratos foi o fornecedor que usaram neste ano. Kits AiTM com arquitetura semelhante, retransmissão de credenciais em tempo real, captura de cookies de sessão, autenticação multifator completamente contornada, já apareceram antes sob outros nomes e vão aparecer de novo sob outros nomes. Tirar um fornecedor do mercado não faz os compradores desaparecerem.
Essa é a parte desta história que mais importa para quem administra um domínio, não só para as equipes de segurança que rastreiam infraestrutura de phishing como serviço. Cada uma daquelas 15.000 campanhas mensais teve que começar da mesma forma que toda campanha de phishing começa: um email que parecia legítimo o suficiente para que um destinatário o abrisse e clicasse até chegar a uma página de login com a marca da Microsoft. O AiTM derrota a autenticação multifator depois do clique. A autenticação de email é o que determina quantos desses emails sequer chegaram a estar em posição de conseguir esse clique.
O Que os Administradores de Domínio Devem Fazer
Leve seu próprio domínio à aplicação do DMARC, p=reject, não apenas a um registro publicado. Um operador nos moldes do Kratos que não consegue falsificar seu domínio diretamente precisa recorrer a domínios parecidos ou contas de terceiros comprometidas, ambas opções mais difíceis de escalar para 15.000 campanhas por mês e mais fáceis de detectar tanto para destinatários quanto para filtros.
Trate cookies de sessão como credenciais, porque os kits AiTM já fazem isso. Redefinir uma senha depois de um phishing reportado não basta se o token de sessão emitido antes da redefinição ainda for válido. Políticas de acesso condicional que reavaliam o risco do login e encurtam a vida útil da sessão reduzem o valor de um cookie roubado.
Preste atenção especificamente a páginas de login com a marca da Microsoft em suas simulações de phishing e treinamentos. O Kratos mirou o Microsoft 365 porque é o provedor de identidade por trás do maior número de caixas de entrada corporativas do planeta. Essa concentração não desaparece só porque um fornecedor caiu.
Revise seus relatórios agregados de DMARC em busca de anomalias nas semanas seguintes a uma operação importante como esta. Operadores criminosos deslocados não param de operar, eles migram de plataforma, e um domínio que nunca tinha visto um determinado padrão de falsificação pode passar a ver um quando os clientes de um kit desativado procuram um novo lar.
A Conclusão
A Operação Olympus Blade é uma interrupção genuína de infraestrutura criminosa real, e as agências envolvidas merecem crédito por construir um caso que foi de uma promotoria em Frankfurt até uma prisão na Indonésia. Ainda assim, isso não muda a economia subjacente que tornou o Kratos lucrativo em primeiro lugar: a autenticação multifator sozinha já não impede o sequestro de contas quando um cookie de sessão está nas mãos de um atacante, e o email que entrega esse primeiro clique continua sendo a parte mais barata e escalável de toda a cadeia de ataque para quem construir o próximo kit. A autenticação de email aplicada é o que impede que esse primeiro clique chegue às caixas de entrada da sua organização.
A Excello Mail ajuda você a levar seu domínio de um registro DMARC publicado para uma aplicação real de p=reject, fechando o vetor de falsificação do qual as plataformas de phishing como serviço dependem para alcançar seus funcionários e clientes. Cadastre-se gratuitamente na Excello Mail e veja exatamente onde seu domínio está hoje.