Kratos: немецкая полиция демонтировала комплект для фишинга-as-a-service, предполагаемый разработчик арестован в Индонезии

Более 200 серверов уничтожено, один предполагаемый разработчик задержан на Бали: немецкая полиция при поддержке международной коалиции положила конец Kratos — набору для фишинга, арендуемому на день для атаки на банковские аккаунты европейцев.

Факты

По данным The Register (21 июля 2026), операция под немецким руководством привела к ликвидации Kratos — платформы phishing-as-a-service (PhaaS). По предварительным данным: более 200 серверов выведено из строя и один предполагаемый разработчик арестован в Индонезии.

Анализ

PhaaS сделал фишинг индустриальным. Kratos, как и Caffeine, LabHost, 16shop или Rockstar 2FA до него, предоставлял преступным клиентам готовые наборы: страницы-приманки, имитирующие банки, панель управления жертвами, обход 2FA через прокси в реальном времени и аренду инфраструктуры на неделю. Мелкому мошеннику остаётся только разослать SMS — набор делает всё остальное.

Ликвидация PhaaS — это краткосрочная победа, а не конец игры. Предыдущие случаи (LabHost закрыт в 2024, Caffeine в 2022) каждый раз сменялись новым сервисом в течение нескольких месяцев — клиенты, спрос и технологии остаются. Однако меняется порог входа для следующего оператора: каждое изъятие расширяет след (отслеживание криптовалют, корреляция инфраструктуры), а арестованный разработчик — это публичный урок для других.

Что делать

Сейчас необходимо:

• Проверить антифишинговые оповещения и убедиться, что ваши бизнес-пользователи знают, куда сообщать о подозрительных письмах (кнопка в Outlook / Gmail, специальный адрес).
• Для всех банков и критически важных сервисов: перейти на passkeys или аппаратные ключи FIDO2 — они невосприимчивы к обратным прокси 2FA, которые взламывают TOTP и push-OTP.
• Следить за IOC, опубликованными национальными CERT после операции (BSI в Германии, ANSSI во Франции): спутниковые инфраструктуры, не попавшие под арест, могут работать ещё несколько дней.

Кратко

Kratos пал; спрос — нет. Настоящий показатель прогресса — не количество закрытых наборов, а количество пользователей, перешедших на не поддающийся фишингу фактор аутентификации. Каждая внедрённая passkey — это один клиент меньше для следующего PhaaS.