Les agences de maintien de l’ordre en Allemagne et aux États-Unis ont démantelé l’infrastructure centrale de Kratos, une plateforme de phishing en tant que service (PhaaS) utilisée par les cybercriminels du monde entier, et arrêté son développeur présumé en Indonésie. Au cours de cette opération coordonnée, les enquêteurs ont saisi plus de 200 serveurs qui supportaient le service, mettant effectivement la plateforme hors ligne et perturbant ses opérations de phishing.
L’enquête a été dirigée par le Bureau central de Francfort pour la lutte contre la criminalité sur Internet (ZIT) et le Bureau fédéral de la police criminelle allemande (BKA), en collaboration avec les forces de l’ordre américaines. Selon la BKA, Kratos était devenu l’une des plateformes de phishing les plus utilisées par les cybercriminels, avec des victimes confirmées identifiées dans 35 pays, principalement en Europe et aux États-Unis.
Les enquêteurs estiment que le service disposait d’une large clientèle. Les autorités estiment que plus de 1 800 criminels se sont abonnés à Kratos et ont lancé collectivement environ 15 000 campagnes de phishing chaque mois. Chaque campagne était capable de cibler des milliers de victimes potentielles, permettant à la plateforme d’atteindre un nombre significatif d’internautes dans le monde entier.
Kratos fonctionnait selon le modèle du phishing en tant que service, permettant aux clients de louer des outils de phishing prêts à l’emploi au lieu de développer les leurs. La plateforme était spécialisée dans la création de pages d’authentification Microsoft frauduleuses qui ressemblaient beaucoup à des portails de connexion légitimes. Les victimes qui ont saisi leurs identifiants dans ces fausses pages ont involontairement donné aux attaquants l’accès à leurs comptes Microsoft.
Selon les enquêteurs, les identifiants Microsoft volés étaient fréquemment utilisés lors d’attaques ultérieures. L’accès à des comptes compromis pourrait permettre aux cybercriminels de mener des schémas de compromission des e-mails professionnels (BEC), de voler des informations sensibles d’entreprise ou personnelles, d’usurper l’identité de victimes dans d’autres campagnes de phishing, ou de prendre le contrôle de comptes e-mail pour étendre leurs attaques à de nouvelles cibles.
Les autorités estiment que l’opérateur a généré au moins 300 000 € (environ 342 000 $) de revenus d’abonnement depuis 2024 en louant l’accès à la plateforme. L’enquête suggère que le service fonctionnait comme une opération criminelle commerciale, les clients payant des frais récurrents en échange d’infrastructures de phishing, d’outils de gestion et d’un support technique.
L’administrateur technique présumé a été arrêté en Indonésie dans le cadre de l’opération internationale. Les autorités allemandes estiment que le retrait de la personne responsable de la maintenance de la plateforme, ainsi que la saisie de son infrastructure, a mis fin aux activités de phishing de Kratos.
Les visiteurs tentant d’accéder au site web de la plateforme reçoivent désormais un avis de saisie indiquant que l’action a été menée dans le cadre de l’Opération Olympus Blade. L’avis confirme également que le contrôle du domaine a été transféré au Federal Bureau of Investigation (FBI) des États-Unis.
Avec plus de 200 serveurs désormais entre les mains des enquêteurs, les forces de l’ordre s’attendent à récupérer des preuves médico-légales supplémentaires provenant des infrastructures saisies. Les autorités espèrent que les données collectées aideront à identifier d’autres personnes ayant acheté l’accès à Kratos, participé à des campagnes de phishing ou soutenu autrement les opérations criminelles de la plateforme. L’enquête est toujours en cours, et des mesures d’application supplémentaires pourraient suivre au fur et à mesure de l’analyse des preuves.