セキュリティ
200台超のサーバーが停止に追い込まれた後、開発者とされる人物がインドネシアで逮捕
ドイツ当局は、米国とインドネシアの支援を受けた作戦により、フィッシング・アズ・ア・サービス(PhaaS)キット「Kratos」を支えていた主要インフラを無力化したと発表しました。
フランクフルト・アム・マインのインターネット犯罪対策中央局(ZIT)と連邦刑事警察庁(BKA)の捜査官は、Kratosについて、市場に出回るPhaaSキットの中でも特に広範かつ危険なものの一つだと説明しています。
インドネシアでは、当局がKratosキットの「開発者兼技術管理者」とされる人物を逮捕したと発表しました。Kratosの摘発に関する発表では、他に追跡中の人物がいるかどうかについては言及されていません。
ZITとBKAによると、Kratosは低スキルのサイバー犯罪者であっても、パスワードやセッションクッキーを含む認証情報を窃取できるようにするものでした。巧妙に作り込まれたMicrosoft風のフィッシングページを提供することで、多要素認証(MFA)を回避することが可能だったといいます。
Kratosのフィッシングページを悪用した犯罪者たちは、30カ国以上にまたがる数十万人の被害者を標的にしていたとみられ、このキットを運営していたグループは2024年以降、34万2千ドル(約30万ユーロ)以上を稼いでいた疑いがあります。
Kratosを利用していた犯罪組織は1,800以上にのぼると推定されており、月間約1万5千件のフィッシングキャンペーンを支えていました。
「個々のキャンペーンはそれぞれ、世界中の数千人に及ぶ受信者に被害を与える可能性を秘めていました」とドイツ当局は声明で述べています。
ZITとBKAによると、今回の作戦で200台を超えるサーバーが無力化されましたが、具体的な手法については明らかにしていません。
過去の摘発作戦で使われた手法としては、Kratosが利用していたホスティング事業者などのインフラ提供事業者に法的令状を送付したり、ISPと連携して不審なIPアドレスに関連する通信をヌルルーティングやシンクホール処理したりする方法が挙げられます。
フランクフルト・アム・マイン検察庁ZIT局長のベンジャミン・クラウゼ博士は次のように述べています。「私たちが進める『破壊的な法執行』というアプローチは効果を上げています。被疑者を特定し訴追するという本来の任務に加え、今回もまた犯罪的なオンラインサービスを解体することに成功し、サイバーセキュリティの向上に貢献することができました」。
BKAサイバー犯罪部門の責任者であるカーステン・マイヴィルト氏はこう付け加えています。「偽サイトを使ってオンラインでログイン認証情報を盗む者は、安穏としていられないと考えるべきです。Kratosフィッシングキットに対する今回の成果は、非常に高度なプロフェッショナル仕様のフィッシングインフラであっても、効果的に対処できることを示しています。
これは先駆的な取り組みであり、他のサイバー攻撃者に対する明確なメッセージでもあります――フィッシングは処罰を免れることはなく、BKAは一貫してこれと戦い続けます」。
名前は違えど、狙いは同じ
ドイツ当局はこのPhaaSキットを単に「Kratos」とだけ呼んでいますが、オープンソース情報の分析では、以前「SneakyLog」や「Sneaky 2FA」といった名称で販売されていた製品との関連が指摘されています。
同様に、ZITとBKAはKratosが提供するテンプレートのうち、偽のMicrosoft認証ページについてのみ言及しています。一方でMicrosoftは今年初め、SneakyLogが偽のW-2税務書類を使って米国民を標的にしたフィッシングキャンペーンの生成に利用されていたと報告しています。
直近では7月16日にも、Heal Securityなどのセキュリティ企業が、KratosがSharePoint、OneDrive、Microsoft Forms、Canva、Tildaなど、さまざまなウェブサイトを装った誘導手段を顧客に提供していると報告しています。
KnowBe4は2月に公表した独自の調査で、このリストにAdobeを装った誘導手段も加えて報告するとともに、このキットがいつ市場に登場したのかについても疑問を呈しています。
Kratosは別名SneakyLogとしても知られているとするMicrosoftは、SneakyLogが2025年初頭からフィッシングキット市場に登場したとみています。一方KnowBe4は、Kratosの最初の兆候が確認されたのは2026年1月に過ぎないとしています。
さらに話をややこしくしているのが、KnowBe4がKratosの前身としてSneakyLogやSneaky 2FAに一切言及していない点です。同社はむしろ、このキットは以前は商用トロイの木馬や情報窃取マルウェアのファミリーとして存在していたものが進化したものだと説明しています。
ただし、大半のオープンソース情報の分析で一致しているのは、このフィッシングキットの顧客が狙う標的が主に米国と欧州に集中しているという点です。
Microsoftは米国内における主な標的業界として製造業、小売業、医療分野を挙げています。一方欧州では、ANY.RUNによると、産業関連組織、法律事務所、工科系教育機関、学校、中小企業などが幅広く攻撃対象となっているとのことです。 ®
