Il 20 luglio 2026, il procuratore pubblico per la criminalità informatica di Francoforte (ZIT) e l'Ufficio federale di polizia criminale tedesco (BKA) hanno dichiarato di aver spento oltre 200 server al centro di una delle infrastrutture di phishing più diffuse al mondo. Le autorità indonesiane hanno arrestato l'uomo identificato come sviluppatore e gestore del kit. L'operazione, condotta con il supporto delle forze dell'ordine statunitensi, ha colpito il servizio noto come Kratos — tracciato da Microsoft Threat Intelligence come "SneakyLog" — ma non ha raggiunto il codice già distribuito.
Il takedown espone un limite strutturale della lotta ai kit phishing-as-a-service: spegnere i server dell'operatore non sterilizza gli strumenti già in mano ai clienti.
- Il kit Kratos operava in due modalità — harvest credenziali PHP e reverse proxy Node.js AiTM — con circa 15.000 campagne di phishing al mese contro Microsoft 365.
- L'arresto dello sviluppatore in Indonesia e la messa offline di oltre 200 server non hanno interessato i circa 1.800 clienti paganti, che conservano il codice.
- La modalità AiTM relaya il flusso di autenticazione a Microsoft in tempo reale, catturando il session token post-MFA e rendendo inefficace l'autenticazione a due fattori tradizionale.
- ANY.RUN ha identificato indicatori tecnici concreti — i file barr.svg e lg.svg caricati in coppia, con POST a endpoint next.php o save.php — che permettono il rilevamento nel 90% dei casi con quasi zero falsi positivi.
Come funziona il doppio motore di Kratos
ANY.RUN ha reverse-engineered il kit, individuando due modalità operative tra cui gli abbonati sceglievano in base al target. La prima, implementata in PHP, raccoglieva credenziali statiche attraverso pagine di login contraffatte. La seconda, costruita su Node.js, attuava un attacco Adversary-in-the-Middle (AiTM): un reverse proxy intercettava il traffico tra l'utente e i server di autenticazione Microsoft, relayando username, password e flusso MFA in tempo reale.
Il risultato tecnico è la cattura del session token valido subito dopo il completamento dell'autenticazione a più fattori. L'attaccante ottiene accesso persistente all'account senza dover compromettere il secondo fattore nel senso tradizionale — né rubarlo, né clonarlo. Il MFA ordinario, basato su TOTP o notifiche push, diventa trasparente al proxy.
Questa architettura non è concettualmente nuova, ma la sua confezione come servizio commerciale abbassa la soglia di accesso a criminali con competenze tecniche limitate. I clienti pagavano in criptovaluta e si registravano tramite un sito dedicato e un shop Telegram, in un modello che il BKA ha descritto come franchising.
La campagna W-2 del 10 febbraio e la geografia delle vittime
Il 10 febbraio 2026, gli operatori di Kratos hanno lanciato una campagna a tema fiscale con QR code personalizzati su documenti W-2, colpendo circa 100 organizzazioni statunitensi nei settori manifatturiero, retail e sanitario. Le autorità stimano che da fine 2024 il kit abbia generato centinaia di migliaia di vittime in più di 30 paesi, con concentrazione in Europa e Stati Uniti. Ogni campagna poteva raggiungere diverse migliaia di destinatari.
I guadagni degli operatori sono stimati in oltre 300.000 euro dal 2024. L'infrastruttura si appoggiava a domini temporanei, siti WordPress compromessi e hosting condiviso con altri kit AiTM — un modello di distribuzione che rende difficile il tracciamento e il blocking precoce.
Microsoft Threat Intelligence traccia lo stesso kit come "SneakyLog" dalmeno dall'inizio 2025, indicando una vita operativa prolungata prima che le autorità tedesche avviassero l'azione di contrasto.
Perché spegnere i server non basta
Il takedown ha colpito l'infrastruttura centrale ma non i circa 1.800 clienti paganti né il codice kit già in loro possesso. Questa distinzione è cruciale: in un modello PhaaS, il prodotto è software, non solo servizio hosting. I clienti possono replicare l'infrastruttura su nuovi server, modificare il branding e ripresentare lo stesso strumento con nome diverso — un pattern già osservato con kit AiTM precedenti.
Carsten Meywirth, capo della divisione cybercrime del BKA, ha affermato che "anche le infrastrutture di phishing altamente professionali possono essere combattute efficacemente". Benjamin Krause dello ZIT ha descritto l'operazione come "disruptiva". Entrambe le dichiarazioni enfatizzano il successo tattico; né fonte né autorità hanno tuttavia sostenuto che il kit sia stato eradicato.
Microsoft sta notificando gli utenti colpiti. Per le vittime della modalità harvest credenziali, la fonte indica che reset password e verifica MFA sono sufficienti. Per quelle colpite dalla modalità AiTM, è necessaria la revoca della sessione; gli account ad alto valore andrebbero migrati verso metodi di autenticazione resistenti al phishing come FIDO2/WebAuthn.
Cosa fare adesso
Per i team di sicurezza, la fonte suggerisce quattro azioni prioritarie basate sui dati disponibili.
Primo: attivare il rilevamento degli indicatori ANY.RUN — la coppia barr.svg e lg.svg caricata contestualmente, con POST verso endpoint next.php o save.php — che ha mostrato il 90% di recall con quasi zero falsi positivi. Questi artefatti sono specifici e riconoscibili nel traffico web.
Secondo: verificare se nell'organizzazione siano attive sessioni Microsoft 365 sospette, specialmente in seguito a campagne di phishing ricevute nei mesi precedenti. La modalità AiTM lascia token validi che non vengono invalidati automaticamente dal cambio password.
Terzo: per gli account con accesso a dati critici, valutare la migrazione a FIDO2/WebAuthn. L'MFA basato su TOTP o push notification non resiste a un proxy AiTM che relaya il flusso in tempo reale; l'autenticazione phishing-resistant basata su crittografia asimmetrica vincolata al dominio blocca questo vettore.
Quarto: controllare la presenza di email con QR code a tema fiscale o documenti W-2, particolarmente quelle ricevute intorno al 10 febbraio 2026, e correlare eventuali clic con anomalie di accesso nei log di autenticazione.
"Even highly professional phishing infrastructures can be effectively combated." — Carsten Meywirth, BKA
Il codice sopravvive: il problema del franchising criminale
L'operazione contro Kratos illustra una tensione crescente nella cybersecurity globale: i takedown sono ottimi per interrompere la crescita di un servizio, ma cattivi per estinguere la minaccia quando il prodotto è codice copiabile. Il modello di abbonamento con pagamento in criptovaluta e distribuzione tramite Telegram ha creato una rete di "franchisee" indipendenti che non dipendono più dall'originatore.
Il kit continuerà a circolare, probabilmente sotto altri nomi. La sfida per le difese non è più solo identificare l'infrastruttura, ma riconoscere il comportamento — il pattern tecnico del reverse proxy AiTM — indipendentemente dal dominio o dal branding. Gli indicatori di ANY.RUN offrono un punto di partenza concreto, ma richiedono che i SOC integrino il rilevamento nel flusso operativo.
Domande frequenti
Perché l'MFA non ha protetto le vittime di Kratos?
L'MFA tradizionale (TOTP, SMS, push notification) verifica l'identità dell'utente ma non l'integrità del canale. Il reverse proxy AiTM di Kratos si inserisce tra utente e Microsoft, relayando il flusso completo: il server legittimo vede un login valido, l'utente vede una pagina autentica, l'attaccante cattura il session token emesso dopo il superamento dell'MFA. Solo l'autenticazione phishing-resistant (FIDO2/WebAuthn) vincola la crittografia al dominio e blocca questo relay.
I clienti di Kratos possono continuare ad attaccare?
Il dossier non specifica attività post-takedown, ma evidenzia che i clienti non sono stati colpiti dall'operazione e conservano il codice. La capacità tecnica di proseguire esiste; l'effettiva continuità operativa dipende da fattori non documentati nella fonte, come la disponibilità di nuova infrastruttura hosting e la volontà di assumere il rischio elevato dopo l'arresto dello sviluppatore.
Esiste un comunicato ufficiale BKA/ZIT consultabile direttamente?
Il dossier non contiene URL diretto a un comunicato BKA o ZIT. I dati sulle dichiarazioni ufficiali provengono dall'articolo di The Hacker News, che riporta le citazioni di Meywirth e Krause senza linkare il documento primario.
Fonti
- https://thehackernews.com/2026/07/police-dismantle-kratos-phishing-kit.html
- https://thomasharris6.wordpress.com/2026/07/22/police-dismantle-kratos-phishing-kit-built-to-steal-microsoft-365-sessions-and-bypass-mfa/
- https://www.guardianmssp.com/2026/07/22/police-dismantle-kratos-phishing-kit-built-to-steal-microsoft-365-sessions-and-bypass-mfa/
- https://thehackernews.com/
- https://thehackernews.com/p/upcoming-hacker-news-webinars.html
- https://thehackernews.com/search/label/Threat%20Intelligence
- https://thehackernews.com/search/label/Vulnerability
- https://thehackernews.com/search/label/Cyber%20Attack
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.