Kratos : a polícia alemã desmonta um kit de phishing-as-a-service, um desenvolvedor suspeito é preso na Indonésia

Mais de 200 servidores derrubados, um desenvolvedor supostamente preso em Bali: a polícia alemã, com o apoio de uma coalizão internacional, põe fim ao Kratos, um kit de phishing alugado por dia para atacar contas bancárias europeias.

Fatos

Segundo The Register (21 de julho de 2026), uma operação coordenada pela Alemanha resultou no desmantelamento de Kratos, uma plataforma de phishing-as-a-service (PhaaS). O balanço divulgado: mais de 200 servidores desativados e um desenvolvedor suspeito preso na Indonésia.

Análise

O PhaaS industrializou o phishing. Kratos, assim como Caffeine, LabHost, 16shop ou Rockstar 2FA antes dele, fornecia aos seus clientes criminosos kits prontos para uso: páginas de destino que imitavam bancos, painel de gerenciamento de vítimas, contorno do 2FA via proxy em tempo real e uma infraestrutura alugada por semana. O pequeno criminoso só precisa enviar os SMS; o kit faz o resto.

O desmantelamento de um PhaaS é uma vitória a curto prazo, não o fim do jogo. Os casos anteriores (LabHost fechado em 2024, Caffeine em 2022) foram seguidos, em cada ocasião, por um substituto em poucos meses — a clientela, a demanda e as técnicas permanecem. O que muda, no entanto, é o custo de entrada para o próximo operador: cada takedown aumenta a trilha de inteligência (rastreamento de criptomoedas, correlação de infraestrutura), e um desenvolvedor preso é uma lição pública dirigida aos próximos.

O que fazer

A fazer agora:

• Verificar suas alertas anti-phishing e confirmar que seus usuários corporativos sabem onde reportar um e-mail suspeito (botão do Outlook / Gmail, endereço dedicado).
• Em todos os bancos e serviços críticos: migrar para passkeys ou chaves físicas FIDO2 — elas são imunes ao reverse-proxy 2FA que quebra o TOTP e o push OTP.
• Acompanhar os IOCs publicados pelos CERTs nacionais (BSI do lado da Alemanha, ANSSI do lado da França) após a operação: as infraestruturas satélites que não foram apreendidas ainda podem funcionar por alguns dias.

Para lembrar

Kratos cai; a demanda, não. O verdadeiro indicador de progresso não é o número de kits fechados, mas sim o número de usuários migrados para um fator de autenticação não phishable. Cada passkey implantada é um cliente a menos para o próximo PhaaS.