La police allemande annonce avoir démantelé l’infrastructure centrale de Kratos, l’une des plateformes de phishing les plus répandues au monde. Repéré pour la première fois début janvier 2026 par les chercheurs de KnowBe4 Threat Labs, le kit de phishing-as-a-Service (PhaaS) a grandement contribué à la démocratisation des arnaques et des cyberattaques.
Le kit est décrit comme une véritable machine à collecter des identifiants par le biais de fausses pages web. Au moment de sa découverte, le KnowBe4 Threat Labs estimait que plus de 90% des compromissions d’identifiants pourraient reposer sur des plateformes toutes prêtes comme Kratos d’ici à la fin de l’année. Face à la menace, les autorités ont redoublé d’efforts pour mettre un terme aux activités de Kratos.
À lire aussi : Un prélèvement de 69 € sera bientôt effectué ? Ne cliquez surtout pas sur ce bouton
Plus de 1800 pirates se servaient de Kratos pour vous piéger
Les autorités estiment que plus de 1 800 criminels ont acheté l’accès à la plateforme. Tous les mois, ceux-ci déployaient environ 15 000 campagnes de phishing dans le monde. Grâce aux arnaques déployées avec Kratos, les cybercriminels ont pu amasser une fortune. En parallèle, les individus à l’origine du kit ont pu engranger plus de 300 000 euros depuis 2024. L’abonnement était surtout payé en cryptomonnaies.
L’Office fédéral allemand de police criminelle (BKA) a pu identifier 850 victimes en provenance de 35 pays différents, essentiellement en Europe et aux États-Unis. En tenant compte de l’ensemble des campagnes menées, les autorités estiment que Kratos a fait plusieurs centaines de milliers de victimes. C’est « l’un des services de phishing criminels les plus utilisés au monde », estime la BKA.
Un kit capable de contourner la double authentification
Le kit de phishing permettait à ses utilisateurs de lancer deux modes d’attaque. Le premier mode d’offensive se contentait de récupérer les identifiants de la victime. Avec Kratos, les pirates ont notamment mis au point de fausses pages d’authentification Microsoft, taillées pour siphonner les mots de passe et les identifiants.
L’alternative proposée par Kratos permettait de contourner l’authentification à deux facteurs en volant directement les cookies de session. Il s’agit d’un petit fichier provisoire déposé par le site dans le navigateur pour garder en mémoire l’identité d’un internaute pendant toute sa navigation. Il embarque un identifiant unique grâce auquel le serveur du site sait immédiatement que cet appareil s’est déjà connecté avec succès, sans avoir besoin de tout vérifier à nouveau. Ce fichier disparaît automatiquement dès que l’utilisateur se déconnecte, ferme son navigateur, ou lorsque le serveur décide de mettre fin à la session.
Grâce à ceux-ci, le système visé ne réclamait pas de code d’authentification multifactorielle. Il était persuadé d’avoir affaire à l’internaute qui détient le compte, et n’enclenchait pas de double authentification. De nombreux outils de phishing, comme Evilginx, s’appuient également sur les cookies pour rendre l’authentification multifactorielle totalement inutile.
À lire aussi : Un hébergeur pirate a été démantelé – 250 serveurs utilisés par des cybercriminels ont été saisis
Le développeur de Kratos arrêté
L’opération de police, diligentée par le parquet de Francfort avec l’aide des autorités américaines, a permis de neutraliser plus de 200 serveurs. L’infrastructure du kit a ainsi été démantelée, et tous les services proposés par Kratos sont devenus inopérants. Le site web officiel de l’outil a été saisi. Il affiche désormais une bannière de saisie, estampillée du logo du FBI et des autorités impliquées. L’offensive, baptisée « Olympus Blade », ne s’est pas arrêtée là. Sur demande des forces de l’ordre de l’Allemagne, les autorités indonésiennes ont arrêté le développeur et administrateur technique présumé de la plateforme, en Indonésie.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source : Police allemande
