Les autorités allemandes et états-uniennes ont démantelé l’infrastructure centrale de Kratos, une plateforme de phishing louée à plus de 1 800 cybercriminels. Plus de 200 serveurs ont été neutralisés et son administrateur arrêté.
Repéré au début de l’année, Kratos avait fait du phishing-as-a-service une franchise du cybercrime, fournissant à ses clients tout le nécessaire pour prendre le contrôle de comptes Microsoft à grande échelle. Quelques mois plus tard, les forces de l’ordre viennent d’en couper le moteur. La police allemande a annoncé avoir démantelé son infrastructure centrale dans le cadre de l’opération Olympus Blade, tandis que son développeur et administrateur technique a été interpellé en Indonésie. Les enquêteurs pourraient désormais remonter jusqu’aux nombreux cybercriminels qui louaient ses services.
Le modèle de franchise de Kratos rattrapé par les autorités
C’est dans une déclaration officielle que le parquet général de Francfort et l’Office fédéral allemand de la police criminelle, le BKA, ont confirmé avoir mis hors service l’infrastructure centrale de Kratos avec l’aide des forces de l’ordre des États-Unis. Au total, plus de 200 serveurs ont été neutralisés, ce qui a rendu la plateforme inutilisable selon les enquêteurs.
Le domaine associé au service affiche désormais une bannière de saisie. L’opération a également conduit à l’arrestation, en Indonésie, de celui que les autorités présentent comme le développeur et l’administrateur technique de Kratos.
Cette arrestation touche le cœur du dispositif, mais Kratos reposait surtout sur un vaste réseau de clients. La plateforme louait sa boîte à outils à d’autres cybercriminels, parfois peu expérimentés, qui pouvaient créer et administrer de fausses pages de connexion Microsoft afin de dérober les adresses mail, les mots de passe et les cookies de session de leurs victimes.
Plus de 1 800 clients criminels auraient ainsi acheté une licence Kratos en cryptomonnaies. Ensemble, ils auraient lancé environ 15 000 campagnes de phishing par mois, chacune susceptible d’atteindre plusieurs milliers de destinataires. Depuis 2024, l’exploitation du service aurait rapporté plus de 300 000 euros à ses responsables.
La saisie des serveurs pourrait maintenant exposer ses clients
Évidemment, la fermeture de Kratos ne neutralise pas les cybercriminels qui s’en servaient, susceptibles de se reporter vers d’autres plateformes. La saisie de son infrastructure pourrait en revanche permettre aux enquêteurs de remonter jusqu’à eux.
Les serveurs récupérés peuvent en effet contenir des comptes clients, des historiques de campagnes, des échanges avec le support ou encore des traces de paiements en cryptomonnaies. Bref, autant d’éléments susceptibles d’aider les autorités à identifier les utilisateurs du service, mais aussi à mieux mesurer l’ampleur des attaques menées depuis son lancement.
Ces investigations ont déjà permis d’identifier formellement environ 850 victimes dans 35 pays, principalement en Europe et aux États-Unis. Un premier bilan encore très partiel puisque, depuis 2024, le nombre total de personnes touchées se compterait en centaines de milliers.
Microsoft doit désormais prévenir les utilisateurs et utilisatrices concernés. Les personnes contactées devront changer leur mot de passe, mais aussi révoquer leurs sessions actives et vérifier les règles de transfert, les méthodes de récupération ainsi que l’activité récente de leur compte.
