Operação tirou mais de 200 servidores do ar e expôs o risco de roubo de sessões.
Autoridades da Alemanha e dos Estados Unidos derrubaram a infraestrutura central do Kratos, um kit de phishing usado contra contas Microsoft 365. Mais de 200 servidores saíram do ar. Segundo os investigadores, o serviço reunia cerca de 1.800 clientes criminosos e era usado em aproximadamente 15 mil campanhas por mês.
Investigadores alemães descreviam o Kratos como um dos kits criminosos de phishing mais usados no mundo. Em uma operação conjunta, autoridades da Alemanha e dos Estados Unidos derrubaram sua infraestrutura principal, enquanto autoridades da Indonésia prenderam o homem apontado como desenvolvedor e operador do serviço.
O caso mostra como o phishing deixou de ser apenas uma página falsa improvisada. O Kratos era vendido como serviço a outros criminosos, com pagamento em criptomoedas, site próprio e loja no Telegram. A investigação estima centenas de milhares de vítimas desde o fim de 2024, em mais de 30 países, com concentração na Europa e nos Estados Unidos.
O maior perigo do Kratos estava em roubar bem mais do que a senha. Segundo a análise citada na fonte, o kit podia operar de duas formas: uma página simples para coletar login e senha, ou um modo mais avançado que intermediava o acesso real ao Microsoft 365 em tempo quase real.
Nesse segundo modo, a vítima digitava as credenciais e concluía a autenticação multifator sem perceber nada de errado. No mesmo instante, o criminoso capturava o cookie de sessão, que funciona como um comprovante temporário de que o usuário já entrou na conta. Com esse cookie em mãos, o invasor acessava a conta como se fosse a própria vítima, mesmo depois do MFA.
A Microsoft rastreava o mesmo kit pelo nome SneakyLog e identificou campanhas contra o Microsoft 365 desde pelo menos o início de 2025. Em um exemplo citado, operadores enviaram emails com tema de impostos para cerca de 100 organizações em 10 de fevereiro.
Para o usuário comum, o ataque pode parecer um login perfeitamente normal. Por isso, alguns sinais simples merecem atenção:
O ponto mais importante: se a sessão foi roubada, apenas trocar a senha pode não encerrar o acesso indevido que já está aberto.
Empresas que usam Microsoft 365 precisam tratar phishing como risco de sessão, e não só de senha. Se um usuário clicou em link suspeito, a equipe de TI deve encerrar as sessões ativas, revisar acessos recentes e orientar a troca de senha. Também vale registrar e bloquear emails semelhantes para evitar novos cliques.
Para reduzir o risco, combine autenticação forte, gestão de acesso e processos claros para conferir links antes do login. A derrubada do Kratos é uma boa notícia, mas o modelo de phishing como serviço tende a ser copiado por outros grupos.
Não. Segundo os investigadores, o kit também foi feito para capturar cookies de sessão, permitindo acesso à conta mesmo depois da autenticação multifator.
Não. O MFA continua essencial, mas ataques que roubam sessões mostram que ele precisa ser combinado com atenção a links, gestão de acesso e resposta rápida a incidentes.
A fonte cita centenas de milhares de vítimas em mais de 30 países, com maior concentração na Europa e nos Estados Unidos.
Se sua organização usa Microsoft 365, a MFA2GO ajuda a fortalecer a autenticação, organizar acessos e reduzir o impacto de golpes que tentam roubar sessões e credenciais.
Conheca: Cofre Corporativo de MFA, Gestao de Acesso, Autenticacao Forte. mfa2go.com
Fontes:
https://thehackernews.com/2026/07/police-dismantle-kratos-phishing-kit.html