Por qué importa

El kit Kratos usaba la técnica de “adversario en el medio” (AiTM): en lugar de solo robar credenciales, el sistema reenviaba en tiempo real el inicio de sesión a Microsoft y capturaba la cookie de sesión. Con esa cookie, un atacante entra a la cuenta sin necesidad de la contraseña ni del segundo factor. Esto convierte al MFA en una barrera mucho más débil de lo que parece.

Además, Kratos operaba como un servicio de phishing por suscripción (PhaaS). Los delincuentes no necesitaban conocimientos técnicos: pagaban en criptomonedas y accedían a una tienda en Telegram para organizar campañas. Las autoridades estiman que más de 1.800 clientes pagaban por el servicio.

El estado de las cosas

La operación, llamada Olympus Blade, dejó estos resultados concretos:

  • Más de 200 servidores incautados en Alemania, dejando a Kratos inoperativo.
  • Arresto en Indonesia del desarrollador y administrador técnico del kit.
  • Sitio web secuestrado: ahora muestra un aviso del FBI indicando que el dominio está bajo control judicial.
  • Cifras del negocio:
    • 15.000 campañas de phishing al mes ejecutadas por los clientes.
    • Cientos de miles de víctimas en más de 35 países, concentradas en Europa y EE.UU.
    • Más de €300.000 en ganancias desde 2024, provenientes de suscripciones.

Entre líneas

Microsoft ya rastreaba este mismo kit bajo el nombre SneakyLog desde principios de 2025. Que una misma plataforma haya sido identificada por separado por la policía y por la inteligencia de amenazas de Microsoft muestra lo difícil que es atribuir y rastrear estos servicios cuando cambian de nombre o infraestructura.

Qué sigue

Con los servidores fuera de línea y el desarrollador detenido, las campañas activas de Kratos se interrumpieron. Sin embargo, la estructura de franquicia implica que los clientes podrían intentar migrar a otros kits similares. La pregunta abierta es si habrá más arrestos o si la investigación se extiende a los “franquiciados” que usaron el servicio para cometer fraudes como el compromiso de correo empresarial (BEC).