Especialistas em autenticação multifator - Blog da MFA2GO

Policia derruba Kratos, kit que roubava sessoes do Microsoft 365

Escrito por MFA2GO | Jul 22, 2026 4:00:43 PM
Cibersegurança

Kratos roubava Microsoft 365, saiba o impacto

Operação tirou mais de 200 servidores do ar e expôs o risco de roubo de sessões.

Navegacao

O que aconteceu Como o Kratos funcionava Sinais de alerta O que fazer agora Checklist pratico

Resumo rapido

Autoridades da Alemanha e dos Estados Unidos derrubaram a infraestrutura central do Kratos, um kit de phishing usado contra contas Microsoft 365. Mais de 200 servidores saíram do ar. Segundo os investigadores, o serviço reunia cerca de 1.800 clientes criminosos e era usado em aproximadamente 15 mil campanhas por mês.

Neste artigo voce vai aprender:

  • O que era o Kratos e por que ele chamou a atenção das autoridades.
  • Como o kit roubava sessões do Microsoft 365 e passava pelo MFA.
  • Quais sinais podem indicar uma tentativa de golpe.
  • Por que trocar a senha pode não ser suficiente em alguns casos.
  • Quais ações práticas reduzem o risco para empresas e usuários.

O que aconteceu

Investigadores alemães descreviam o Kratos como um dos kits criminosos de phishing mais usados no mundo. Em uma operação conjunta, autoridades da Alemanha e dos Estados Unidos derrubaram sua infraestrutura principal, enquanto autoridades da Indonésia prenderam o homem apontado como desenvolvedor e operador do serviço.

O caso mostra como o phishing deixou de ser apenas uma página falsa improvisada. O Kratos era vendido como serviço a outros criminosos, com pagamento em criptomoedas, site próprio e loja no Telegram. A investigação estima centenas de milhares de vítimas desde o fim de 2024, em mais de 30 países, com concentração na Europa e nos Estados Unidos.

Como o Kratos funcionava

O maior perigo do Kratos estava em roubar bem mais do que a senha. Segundo a análise citada na fonte, o kit podia operar de duas formas: uma página simples para coletar login e senha, ou um modo mais avançado que intermediava o acesso real ao Microsoft 365 em tempo quase real.

Nesse segundo modo, a vítima digitava as credenciais e concluía a autenticação multifator sem perceber nada de errado. No mesmo instante, o criminoso capturava o cookie de sessão, que funciona como um comprovante temporário de que o usuário já entrou na conta. Com esse cookie em mãos, o invasor acessava a conta como se fosse a própria vítima, mesmo depois do MFA.

A Microsoft rastreava o mesmo kit pelo nome SneakyLog e identificou campanhas contra o Microsoft 365 desde pelo menos o início de 2025. Em um exemplo citado, operadores enviaram emails com tema de impostos para cerca de 100 organizações em 10 de fevereiro.

Sinais de alerta

Para o usuário comum, o ataque pode parecer um login perfeitamente normal. Por isso, alguns sinais simples merecem atenção:

  • Email inesperado pedindo login no Microsoft 365, sobretudo com tom de urgência ou tema financeiro, como impostos.
  • Link recebido por email ou mensagem que leva a uma página muito parecida com a tela de login da Microsoft.
  • Pedido de MFA logo após clicar em um link externo, sem que você tenha iniciado o acesso pelo site oficial.
  • Atividade estranha na conta depois de uma tentativa de login, mesmo que a senha já tenha sido alterada.

O ponto mais importante: se a sessão foi roubada, apenas trocar a senha pode não encerrar o acesso indevido que já está aberto.

O que fazer agora

Empresas que usam Microsoft 365 precisam tratar phishing como risco de sessão, e não só de senha. Se um usuário clicou em link suspeito, a equipe de TI deve encerrar as sessões ativas, revisar acessos recentes e orientar a troca de senha. Também vale registrar e bloquear emails semelhantes para evitar novos cliques.

Para reduzir o risco, combine autenticação forte, gestão de acesso e processos claros para conferir links antes do login. A derrubada do Kratos é uma boa notícia, mas o modelo de phishing como serviço tende a ser copiado por outros grupos.

Checklist pratico

  1. Abra o Microsoft 365 digitando o endereço oficial no navegador, em vez de clicar em links recebidos por email.
  2. Diante de qualquer suspeita, avise a TI, troque a senha e peça o encerramento das sessões ativas.
  3. Revise acessos recentes e as mensagens enviadas pela conta para identificar uso indevido.

Perguntas frequentes

O Kratos afetava apenas senhas?

Não. Segundo os investigadores, o kit também foi feito para capturar cookies de sessão, permitindo acesso à conta mesmo depois da autenticação multifator.

O MFA deixou de ser útil?

Não. O MFA continua essencial, mas ataques que roubam sessões mostram que ele precisa ser combinado com atenção a links, gestão de acesso e resposta rápida a incidentes.

Quem foi mais afetado?

A fonte cita centenas de milhares de vítimas em mais de 30 países, com maior concentração na Europa e nos Estados Unidos.

Proteja sua empresa com a MFA2GO

Se sua organização usa Microsoft 365, a MFA2GO ajuda a fortalecer a autenticação, organizar acessos e reduzir o impacto de golpes que tentam roubar sessões e credenciais.

Conheca: Cofre Corporativo de MFA, Gestao de Acesso, Autenticacao Forte. mfa2go.com

Fontes:
https://thehackernews.com/2026/07/police-dismantle-kratos-phishing-kit.html