La polizia tedesca smantella Kratos, il kit che ha reso l'AiTM…

Autorità tedesche, americane e indonesiane hanno disarticolato il phishing-as-a-service Kratos, sequestrato oltre 200 server e arrestato lo sviluppatore. Circa 1.800

Il Bundeskriminalamt tedesco (BKA), la Zentrale Stelle zur Aufklärung von Internetkriminalität (ZIT) e le autorità statunitensi hanno smantellato l'infrastruttura di Kratos, uno dei kit di phishing più diffusi al mondo, sequestrando oltre 200 server e arrestando in Indonesia lo sviluppatore della piattaforma. L'operazione, denominata "Olympus Blade" dalla Federal Bureau of Investigation, ha colpito un servizio che secondo le stime degli investigatori tedeschi contava circa 1.800 clienti paganti e generava più di 300.000 euro di ricavi dal 2024. La data è il 20 luglio 2026, ma il valore della notizia sta nel metodo: Kratos non era uno strumento tecnico per specialisti, bensì un franchising criminale che ha democratizzato l'adversary-in-the-middle contro gli account Microsoft 365.

Punti chiave

Germania, Stati Uniti e Indonesia hanno condotto un'operazione congiunta contro il phishing-as-a-service Kratos, con sequestro di oltre 200 server e arresto dello sviluppatore.
Kratos operava su due livelli tecnici: raccolta statica di credenziali via PHP e proxy inverso Node.js per l'intercettazione in tempo reale delle sessioni Microsoft 365, aggirando l'MFA tradizionale.
Microsoft Threat Intelligence traccia lo stesso kit con il nome "SneakyLog", attivo almeno dall'inizio del 2025, con una campagna fiscale documentata il 10 febbraio 2026 contro circa 100 organizzazioni statunitensi.
Lo smantellamento non ha interessato i circa 1.800 clienti-franchising né il codice del kit in loro possesso, lasciando intatto l'ecosistema di minaccia.

Il modello franchising: come Kratos ha industrializzato l'AiTM phishing

Le indagini del BKA hanno ricostruito un modello operativo che gli investigatori tedeschi hanno definito esplicitamente da "franchisee": i clienti acquistavano accesso al servizio tramite sito web e canale Telegram shop, pagando in criptovalute. Non erano attori tecnici sofisticati, ma utenti di bassa specializzazione che acquistavano la capacità di condurre campagne di phishing avanzate. Secondo le stime delle autorità tedesche, questi circa 1.800 clienti gestivano approssimativamente 15.000 campagne di phishing al mese.

Il kit presentava due modalità distinte, entrambe analizzate da ANY.RUN nel corso del reverse-engineering. La prima era un harvester di credenziali in PHP, di tipo statico, che catturava username e password su pagine di login contraffatte. La seconda, tecnicamente più sofisticata, implementava un proxy inverso in Node.js progettato per inoltrare in tempo reale le richieste di autenticazione a Microsoft e intercettare la sessione risultante, inclusi i token MFA. Questo meccanismo di adversary-in-the-middle rende inefficaci le forme tradizionali di autenticazione a più fattori basate su SMS, TOTP o notifiche push.

Le firme tecniche identificate da ANY.RUN includono asset SVG accoppiati (barr.svg e lg.svg) ed endpoint POST specifici (next.php e save.php). Il tasso di rilevamento con questi indicatori è del 90% di recall con quasi zero falsi positivi, secondo la stessa analisi.

La mappa della minaccia: da SneakyLog alle campagne fiscali del 2026

Microsoft Threat Intelligence ha attribuito a Kratos il nome alternativo "SneakyLog", documentandone l'attività almeno dall'inizio del 2025. La convergenza tra le analisi di ANY.RUN e il tracciamento di Microsoft ha permesso di collegare il kit a campagne concrete con dettagli operativi precisi. Il 10 febbraio 2026 è documentata una campagna a tema fiscale, con email contenenti documenti W-2 e codici QR personalizzati, diretta a circa 100 organizzazioni statunitensi nei settori manifatturiero, retail, sanità e istruzione.

Le vittime documentate dall'operazione si contano in centinaia di migliaia dal tardo 2024, distribuite in oltre 30 paesi con concentrazione in Europa e Stati Uniti. Gli operatori hanno utilizzato domini usa-e-getta, siti WordPress compromessi e hosting condivisi ospitanti anche altri kit AiTM. Le credenziali e le sessioni rubate venivano impiegate per ulteriore phishing, vendita sul mercato nero o propagazione di Business Email Compromise attraverso gli ambienti Microsoft 365.

"that even highly professional phishing infrastructures can be effectively combated" — Carsten Meywirth, capo della divisione cybercrime del BKA

L'operazione Olympus Blade: tattiche di law enforcement e limiti

L'FBI ha apposto il banner di sequestro sui domini associati all'operazione, identificata pubblicamente come "Olympus Blade". Lo sviluppatore arrestato in Indonesia è descritto da BleepingComputer come "amministratore tecnico"; il suo nome non è stato reso pubblico in nessuna delle fonti consultate. Le autorità tedesche hanno stimato ricavi superiori a 300.000 euro dal 2024; BleepingComputer converte la cifra in 342.000 dollari USA.

Un dato alternativo emerge da GBHackers, che riporta 850 vittime in 35 paesi. La discrepanza con le stime del BKA (centinaia di migliaia di vittime in oltre 30 paesi) riflette probabilmente diverse metriche: il primo dato potrebbe riferirsi a incidenti specifici documentati, mentre il secondo a una stima aggregata del pool di vittime potenziali o effettive. Il dossier non chiarisce quale interpretazione sia corretta.

Ciò che l'operazione non ha colpito è altrettanto significativo. I circa 1.800 clienti-franchising non sono stati arrestati né apparentemente identificati pubblicamente. Il codice del kit rimane in loro possesso. La fonte non specifica se le autorità dispongano di dati recuperabili dai server sequestrati che possano portare a ulteriori arresti, né se i clienti siano oggetto di indagine.

Cosa fare adesso

Audire le sessioni attive sugli account Microsoft 365 aziendali: le vittime della modalità proxy inverso richiedono revoca esplicita della sessione, non solo cambio password.
Passare a MFA resistente al phishing (FIDO2/passkeys) per gli account ad alto valore: l'autenticazione basata su SMS, TOTP o notifiche push non blocca l'AiTM.
Cercare nelle query di rete indicatori associati a Kratos/SneakyLog: asset SVG barr.svg e lg.svg, endpoint POST next.php e save.php, con attenzione al 90% di recall documentato da ANY.RUN.
Differenziare la risposta per modalità di attacco: reset password sufficiente per le vittime del solo harvester PHP, revoca sessione obbligatoria per quelle del proxy inverso.

Perché lo smantellamento dell'infrastruttura non conclude la partita

La lettura redazionale suggerisce cautela sul significato operativo di questa operazione. L'arresto dello sviluppatore e il sequestro dei server interrompono il flusso di aggiornamenti e il supporto tecnico, ma non disincentivano direttamente la domanda. I 1.800 clienti hanno già acquisito competenze tecniche minime sufficienti per replicare o migrare verso kit concorrenti. L'ecosistema del phishing-as-a-service è strutturato per assorbire queste interruzioni: gli operatori si riformano, i codici si riciclano, i domini si rigenerano.

Il valore strategico dell'operazione risiede piuttosto nella dimostrazione che le infrastrutture criminali possono essere mappate con precisione sufficiente per azioni transnazionali coordinate. La componente tecnica — l'analisi di ANY.RUN, il tracciamento di Microsoft, la convergenza tra fonti investigative — è stata tanto determinante quanto l'azione giudiziaria. Senza questa base, Olympus Blade sarebbe stata impossibile.

Resta aperto il problema della resilienza difensiva: le organizzazioni che non migreranno verso MFA resistente al phishing rimangono esposte nonostante questa operazione, poiché la tecnica AiTM è replicabile da qualsiasi kit successivo.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti