Co to jest phishing-as-a-service (PhaaS)?

PhaaS to model biznesu cyberprzestępczości, w którym operatorzy platformy udostępniają gotowe narzędzia do prowadzenia ataków phishingowych za opłatą abonamentową. Zamiast samodzielnie tworzyć infrastrukturę, atakujący wynajmują dostęp do gotowego zestawu narzędzi, podobnie jak w legalnych usługach SaaS.

Jak Kratos pomagał cyberprzestępcom w atakach?

Platforma oferowała gotowe szablony fałszywych stron logowania (szczególnie Microsoft), obsługę infrastruktury, przechowywanie skradzionych danych i możliwość prowadzenia masowych kampanii mailowych. Klienci nie musieli posiadać zaawansowanej wiedzy technicznej.

Ile osób mogło paść ofiarą Kratosa?

Od końca 2024 roku liczba poszkodowanych mogła sięgnąć setek tysięcy. Każda z około 15 tys. miesięcznych kampanii docierała do kilku tysięcy odbiorców, a każda mogła być kierowana na różne grupy docelowe.

Co mogą zrobić cyberprzestępcy po przejęciu konta Microsoft?

Uzyskują dostęp do korespondencji, dokumentów, listy kontaktów i mogą wykorzystać konto do dalszych ataków phishingowych, Business Email Compromise, wyłudzania pieniędzy od współpracowników lub podszywania się pod właściciela konta.

Jak się chronić przed atakami phishingowymi?

Weryfikuj adres nadawcy, nie klikaj podejrzanych linków, włącz uwierzytelnianie dwuskładnikowe, uważaj na prośby o hasło, a w przypadku wątpliwości kontaktuj się bezpośrednio z firmą za pośrednictwem oficjalnych kanałów.

Kratos rozbita: jak działała platforma phishingu na skalę przemysłową

Międzynarodowa operacja policji wyłączyła platformę Kratos obsługującą 15 tys. kampanii phishingowych miesięcznie.

Platforma Kratos była jedną z największych na świecie usług phishing-as-a-service (PhaaS), umożliwiającą cyberprzestępcom prowadzenie masowych ataków na dane logowania bez konieczności posiadania zaawansowanej wiedzy technicznej. Międzynarodowa operacja policji z Niemiec, USA i Indonezji wyłączyła tę przestępczą infrastrukturę, zatrzymując jej administratora i wyłączając ponad 200 serwerów.

Jak działała platforma Kratos

Kratos funkcjonował jak legalna usługa abonamentowa, ale jego klientami byli wyłącznie cyberprzestępcy. Po opłaceniu dostępu użytkownicy otrzymywali gotowy zestaw narzędzi do tworzenia i prowadzenia kampanii phishingowych. Platforma sprzedawana była przez stronę internetową oraz sklep w komunikatorze Telegram, a płatności akceptowano między innymi w kryptowalutach, co utrudniało śledzenie transakcji.

Głównym atutem Kratosa było tworzenie i obsługiwanie sfałszowanych stron podszywających się pod formularze uwierzytelniania Microsoftu. Ofiara otrzymywała wiadomość e-mail zawierającą link do fałszywej strony, która wizualnie przypominała prawdziwy panel logowania. Po wpisaniu adresu e-mail i hasła dane trafiały bezpośrednio do atakujących.

Skala operacji Kratosa

Wielkość problemu, jaki stanowiła platforma, jest zastraszająca. Według ustaleń niemieckich służb dostęp do Kratosa wykupiło ponad 1800 przestępczych klientów, którzy prowadzili około 15 tys. kampanii phishingowych miesięcznie. Każda z nich mogła docierać do kilku tysięcy odbiorców, co oznacza, że od końca 2024 roku liczba poszkodowanych mogła sięgać setek tysięcy. Ofiary kampanii znajdowały się w ponad 30 państwach, przede wszystkim w Europie i Stanach Zjednoczonych.

Parametr	Wartość
Liczba serwerów wyłączonych	Ponad 200
Liczba przestępczych klientów	Ponad 1800
Kampanie phishingowe miesięcznie	Około 15 000
Liczba krajów dotkniętych	Ponad 30
Przychód grupy Kratosa (od 2024 r.)	Ponad 300 tys. euro
Liczba poszkodowanych (szacunkowa)	Setki tysięcy

Co działo się po przejęciu konta

Kradzież danych logowania była zazwyczaj dopiero pierwszym etapem ataku. Po przejęciu konta Microsoft cyberprzestępcy uzyskiwali dostęp do korespondencji ofiary, zapisanych dokumentów oraz listy kontaktów. Te informacje mogły następnie służyć do przygotowania kolejnych wiadomości phishingowych, podszywania się pod właściciela konta albo wyłudzania pieniędzy od jego współpracowników.

Szczególnie niebezpieczne było przejęcie kont firmowych. Atakujący mogli wykorzystać je w oszustwach typu Business Email Compromise, podszywając się pod pracownika, przełożonego lub kontrahenta i próbując nakłonić odbiorcę do wykonania przelewu albo przekazania poufnych danych. Przejęte konto mogło również posłużyć do atakowania współpracowników i partnerów biznesowych ofiary.

Międzynarodowa operacja policji

Operację przeprowadziła Prokuratura Generalna we Frankfurcie, działająca przy niej Centrala ds. Zwalczania Cyberprzestępczości ZIT oraz niemiecki Federalny Urząd Kryminalny (BKA). W działaniach uczestniczyły również amerykańskie organy ścigania i policja w Indonezji. Domniemany twórca Kratosa, który pełnił również funkcję administratora technicznego, został zatrzymany przez miejscową policję w Indonezji.

Służby wyłączyły ponad 200 serwerów tworzących techniczne zaplecze Kratosa, co doprowadziło do całkowitego unieruchomienia platformy i uniemożliwiło jej klientom dalsze prowadzenie kampanii za pośrednictwem przejętej infrastruktury. BKA określił operację jako istotny sukces w zwalczaniu profesjonalnych platform udostępniających cyberprzestępczość w formie usługi.

Co to oznacza dla użytkowników

Rozbicie Kratosa pokazuje, że nawet duże i dobrze zorganizowane platformy przestępczych usług mogą być neutralizowane przez międzynarodową współpracę organów ścigania. Jednak zakończenie działania platformy nie oznacza końca śledztwa. Przejęte serwery mogą zawierać dane dotyczące administratorów, klientów, płatności oraz przeprowadzonych kampanii, co może pomóc służbom w ustaleniu tożsamości osób kupujących dostęp do Kratosa.

Dla zwykłych użytkowników wiadomość jest jasna: phishing pozostaje jedną z najczęstszych metod ataku. Konieczne jest włączenie uwierzytelniania dwuskładnikowego na wszystkich ważnych kontach, szczególnie tych zawierających dane wrażliwe. Nigdy nie należy klikać linków z podejrzanych wiadomości e-mail ani wpisywać haseł na stronach dostępnych z linków przesłanych mailowo. Zawsze warto sprawdzić adres nadawcy i w razie wątpliwości skontaktować się bezpośrednio z firmą za pośrednictwem oficjalnych kanałów.