Una operación internacional desactivó más de 200 servidores de Kratos, una plataforma que abastecía 15.000 campañas de phishing por mes, y derivó en la detención de su presunto administrador. El servicio permitía interceptar contraseñas y sesiones autenticadas para acceder a correos corporativos.
Autoridades de Alemania y Estados Unidos desarticularon la infraestructura central de una plataforma que proporcionaba páginas falsas de inicio de sesión a ciberdelincuentes de distintos países. La intervención permitió desconectar más de 200 servidores y frenar miles de campañas destinadas a robar cuentas de Microsoft.
Los investigadores calculan que unos 1800 clientes utilizaban el servicio para ejecutar cerca de 15.000 campañas de phishing por mes. Cada operación podía alcanzar a varios miles de destinatarios mediante correos y enlaces preparados para imitar comunicaciones legítimas.
La plataforma, denominada Kratos, funcionaba bajo el modelo de phishing como servicio. Su presunto desarrollador y administrador técnico fue detenido en Indonesia por las autoridades locales, según informó la Oficina Federal de Investigación Criminal de Alemania, conocida como BKA.
Cómo funcionaba la plataforma de phishing Kratos
Kratos ofrecía una infraestructura lista para usar que reducía los conocimientos técnicos necesarios para organizar un ataque. Sus clientes podían contratar el servicio mediante una página web o una tienda alojada en Telegram y pagar la suscripción con criptomonedas.
El kit permitía crear páginas que reproducían la apariencia de los portales de acceso de Microsoft. Cuando una persona ingresaba su dirección de correo y contraseña, esos datos quedaban en manos de los atacantes.
Una modalidad más avanzada colocaba un servidor intermediario entre la víctima y el sitio legítimo. El sistema transmitía en tiempo real las credenciales y la solicitud de autenticación multifactor. Tras completar el acceso, también interceptaba la cookie que identifica la sesión iniciada.
Ese archivo podía permitir que el delincuente ingresara a la cuenta sin repetir la contraseña o el segundo factor. El mecanismo no explotaba una vulnerabilidad de la autenticación multifactor: secuestraba una sesión que el usuario ya había validado.
Microsoft documentó esta técnica bajo la denominación adversary-in-the-middle o AiTM. La empresa detectó que las sesiones robadas pueden utilizarse para revisar correos, buscar información financiera, modificar reglas de la bandeja de entrada y preparar fraudes contra otros contactos de la organización.
Una estructura con víctimas en 35 países
La investigación confirmó víctimas en 35 países, principalmente de Europa y Estados Unidos. Las autoridades estiman que cientos de miles de personas recibieron mensajes vinculados con la plataforma desde finales de 2024.
Los operadores habrían obtenido al menos 300.000 euros mediante el cobro de suscripciones. La cifra fue calculada por los investigadores a partir de la actividad identificada y podría representar solamente una parte de los ingresos.
La operación fue encabezada por la unidad contra el ciberdelito de la Fiscalía de Frankfurt y la BKA, con participación de organismos estadounidenses. Las autoridades indonesias ejecutaron la detención del presunto responsable técnico.
El retiro de los servidores interrumpió las campañas que dependían de esa infraestructura. La medida también dejó información disponible para identificar a sus operadores, clientes y posibles víctimas.
Por qué una contraseña nueva puede resultar insuficiente
El acceso a una cuenta corporativa puede servir como punto de partida para nuevos ataques. Un delincuente que controla el correo de un empleado puede revisar conversaciones previas, hacerse pasar por esa persona y enviar instrucciones de pago a proveedores o compañeros de trabajo.
Cuando el atacante obtiene una cookie de sesión, cambiar la contraseña puede resultar insuficiente si la sesión comprometida continúa activa. Microsoft recomienda restablecer las credenciales y revocar los tokens asociados con la cuenta afectada.
Para reducir el riesgo, las organizaciones pueden adoptar métodos de autenticación resistentes al phishing, como claves de acceso, llaves de seguridad FIDO2 o Windows Hello. También necesitan controlar inicios de sesión anómalos y revisar cambios inesperados en las reglas del correo.
La caída de Kratos eliminó una infraestructura de gran escala. El modelo de negocio permanece disponible a través de otros servicios criminales, por lo que las páginas falsas de Microsoft y el secuestro de sesiones continúan como amenazas para usuarios y empresas.