Kratos: la policía alemana desmonta un kit de phishing-as-a-service, un desarrollador presunto arrestado en Indonesia

Más de 200 servidores desmantelados, un desarrollador presuntamente detenido en Bali: la policía alemana, con el apoyo de una coalición internacional, pone fin a Kratos, un kit de phishing alquilado por días para atacar cuentas bancarias europeas.

Hechos

Según The Register (21 de julio de 2026), una operación coordinada por Alemania logró el desmantelamiento de Kratos, una plataforma de phishing-as-a-service (PhaaS). El balance comunicado: más de 200 servidores desconectados y un desarrollador presunto arrestado en Indonesia.

Análisis

El PhaaS industrializó el phishing. Kratos, como Caffeine, LabHost, 16shop o Rockstar 2FA antes que él, proporcionaba a sus clientes criminales kits llave en mano: páginas de aterrizaje que imitaban bancos, paneles de gestión de víctimas, elusión del 2FA mediante proxy en tiempo real y una infraestructura alquilada por semana. El pequeño estafador solo tiene que enviar los SMS; el kit hace el resto.

El desmantelamiento de un PhaaS es una victoria a corto plazo, no el fin del juego. Los precedentes (LabHost cerrado en 2024, Caffeine en 2022) siempre han sido seguidos por un reemplazo en cuestión de meses: la clientela, la demanda y las técnicas siguen ahí. Lo que sí cambia, sin embargo, es el coste de entrada para el siguiente operador: cada takedown alarga la pista de inteligencia (trazado de criptomonedas, correlación de infraestructuras), y un desarrollador arrestado es una lección pública dirigida a los siguientes.

Qué hacer

Acciones inmediatas:

• Revisar tus alertas anti-phishing y confirmar que tus usuarios de negocio saben dónde reportar un correo sospechoso (botón de Outlook / Gmail, dirección dedicada).
• En todos los bancos y servicios críticos: migrar a passkeys o llaves físicas FIDO2 — son inmunes al reverse-proxy 2FA que rompe el TOTP y el push OTP.
• Seguir los IOC publicados por los CERT nacionales (BSI en DE, ANSSI en FR) tras la operación: las infraestructuras satélite que no fueron incautadas aún pueden funcionar unos días más.

A tener en cuenta

Kratos cae; la demanda, no. El verdadero indicador de progreso no es el número de kits cerrados, sino el número de usuarios migrados a un factor de autenticación no phishable. Cada passkey desplegada es un cliente menos para el próximo PhaaS.