O que aconteceu

Investigadores alemães descreviam o Kratos como um dos kits criminosos de phishing mais usados no mundo. Em uma operação conjunta, autoridades da Alemanha e dos Estados Unidos derrubaram sua infraestrutura principal, enquanto autoridades da Indonésia prenderam o homem apontado como desenvolvedor e operador do serviço.

O caso mostra como o phishing deixou de ser apenas uma página falsa improvisada. O Kratos era vendido como serviço a outros criminosos, com pagamento em criptomoedas, site próprio e loja no Telegram. A investigação estima centenas de milhares de vítimas desde o fim de 2024, em mais de 30 países, com concentração na Europa e nos Estados Unidos.

Como o Kratos funcionava

O maior perigo do Kratos estava em roubar bem mais do que a senha. Segundo a análise citada na fonte, o kit podia operar de duas formas: uma página simples para coletar login e senha, ou um modo mais avançado que intermediava o acesso real ao Microsoft 365 em tempo quase real.

Nesse segundo modo, a vítima digitava as credenciais e concluía a autenticação multifator sem perceber nada de errado. No mesmo instante, o criminoso capturava o cookie de sessão, que funciona como um comprovante temporário de que o usuário já entrou na conta. Com esse cookie em mãos, o invasor acessava a conta como se fosse a própria vítima, mesmo depois do MFA.

A Microsoft rastreava o mesmo kit pelo nome SneakyLog e identificou campanhas contra o Microsoft 365 desde pelo menos o início de 2025. Em um exemplo citado, operadores enviaram emails com tema de impostos para cerca de 100 organizações em 10 de fevereiro.

Sinais de alerta

Para o usuário comum, o ataque pode parecer um login perfeitamente normal. Por isso, alguns sinais simples merecem atenção:

• Email inesperado pedindo login no Microsoft 365, sobretudo com tom de urgência ou tema financeiro, como impostos.
• Link recebido por email ou mensagem que leva a uma página muito parecida com a tela de login da Microsoft.
• Pedido de MFA logo após clicar em um link externo, sem que você tenha iniciado o acesso pelo site oficial.
• Atividade estranha na conta depois de uma tentativa de login, mesmo que a senha já tenha sido alterada.

O ponto mais importante: se a sessão foi roubada, apenas trocar a senha pode não encerrar o acesso indevido que já está aberto.

O que fazer agora

Empresas que usam Microsoft 365 precisam tratar phishing como risco de sessão, e não só de senha. Se um usuário clicou em link suspeito, a equipe de TI deve encerrar as sessões ativas, revisar acessos recentes e orientar a troca de senha. Também vale registrar e bloquear emails semelhantes para evitar novos cliques.

Para reduzir o risco, combine autenticação forte, gestão de acesso e processos claros para conferir links antes do login. A derrubada do Kratos é uma boa notícia, mas o modelo de phishing como serviço tende a ser copiado por outros grupos.

Checklist pratico

1. Abra o Microsoft 365 digitando o endereço oficial no navegador, em vez de clicar em links recebidos por email.
2. Diante de qualquer suspeita, avise a TI, troque a senha e peça o encerramento das sessões ativas.
3. Revise acessos recentes e as mensagens enviadas pela conta para identificar uso indevido.

Perguntas frequentes

O Kratos afetava apenas senhas?

Não. Segundo os investigadores, o kit também foi feito para capturar cookies de sessão, permitindo acesso à conta mesmo depois da autenticação multifator.

O MFA deixou de ser útil?

Não. O MFA continua essencial, mas ataques que roubam sessões mostram que ele precisa ser combinado com atenção a links, gestão de acesso e resposta rápida a incidentes.

Quem foi mais afetado?

A fonte cita centenas de milhares de vítimas em mais de 30 países, com maior concentração na Europa e nos Estados Unidos.

Conheca: Cofre Corporativo de MFA, Gestao de Acesso, Autenticacao Forte. mfa2go.com

Fontes:
https://thehackernews.com/2026/07/police-dismantle-kratos-phishing-kit.html