Kratos smantellata e oltre mille domini pirata del Mondiale sequestrati

🛡️ Executive Summary

• Kratos forniva pagine Microsoft contraffatte a oltre 1.800 clienti criminali, sostenendo circa 15.000 campagne di phishing ogni mese.
• Le autorità hanno arrestato lo sviluppatore in Indonesia e sequestrato più di 200 server, interrompendo l’infrastruttura centrale della piattaforma.
• Il Dipartimento di Giustizia statunitense ha sequestrato oltre mille domini che trasmettevano illegalmente le partite del Mondiale FIFA 2026.

Le forze dell’ordine hanno colpito due infrastrutture criminali costruite per industrializzare attività illegali su vasta scala. Germania e Stati Uniti hanno smantellato Kratos, piattaforma phishing-as-a-service utilizzata per rubare account Microsoft attraverso pagine di autenticazione contraffatte. Lo sviluppatore è stato arrestato in Indonesia e oltre 200 server sono stati sequestrati. Negli Stati Uniti, il Dipartimento di Giustizia ha intanto sottratto al controllo degli operatori più di 1.000 domini impiegati per trasmettere illegalmente le partite del Mondiale FIFA 2026, ampliando un’operazione internazionale contro pirateria, malware e frodi collegate all’evento sportivo.

Kratos trasformava il phishing Microsoft in un servizio commerciale

Kratos operava come una piattaforma phishing-as-a-service che permetteva a criminali privi di competenze tecniche avanzate di creare e gestire campagne contro gli utenti Microsoft. Il servizio forniva moduli di accesso convincenti, infrastruttura di hosting e strumenti per raccogliere indirizzi email e password inseriti dalle vittime. Secondo le autorità tedesche, la piattaforma avrebbe servito più di 1.800 clienti criminali e sostenuto circa 15.000 campagne al mese, ciascuna potenzialmente capace di raggiungere migliaia di destinatari. Le vittime confermate risultano distribuite in 35 Paesi, soprattutto in Europa e negli Stati Uniti. Il modello commerciale richiama quello delle piattaforme EvilTokens rivolte agli account Microsoft 365, dove l’infrastruttura viene noleggiata attraverso abbonamenti e aggiornata dal gestore centrale. Le credenziali raccolte potevano essere utilizzate per account takeover, furto di dati, compromissione delle email aziendali e nuove campagne inviate ai contatti della vittima, trasformando un singolo accesso in un punto di partenza per ulteriori frodi.

L’arresto in Indonesia interrompe l’infrastruttura centrale

L’operazione, coordinata dalla Procura generale di Francoforte e dal Bundeskriminalamt con il supporto delle autorità statunitensi, ha portato all’arresto in Indonesia del presunto sviluppatore e amministratore tecnico di Kratos. Gli investigatori hanno sequestrato più di 200 server, rendendo inutilizzabili i componenti centrali necessari per generare pagine false, gestire le campagne e raccogliere le credenziali.

Il dominio del servizio è stato trasferito sotto il controllo dell’FBI e mostra ora il banner di Operation Olympus Blade. Le autorità stimano che il gestore abbia ricavato almeno 300.000 euro dal 2024 attraverso gli abbonamenti venduti ai clienti. Il sequestro offre anche una base probatoria significativa: database, log, indirizzi di pagamento e account amministrativi possono consentire di identificare utenti e affiliati della piattaforma, come avvenuto durante lo smantellamento del kit AiTM W3LL e l’arresto del suo sviluppatore. La chiusura del backend interrompe le campagne esistenti, ma non elimina le credenziali già sottratte né impedisce ai clienti di migrare verso altri servizi PhaaS.

Oltre mille domini trasmettevano illegalmente il Mondiale

Il Dipartimento di Giustizia degli Stati Uniti ha annunciato il sequestro di più di mille domini impiegati per offrire streaming non autorizzati delle partite del Mondiale FIFA 2026. Le azioni sono state condotte in tre fasi durante la competizione e comprendono circa 400 siti già sottratti agli operatori entro la fine di giugno. Gli agenti di Homeland Security Investigations hanno verificato che i domini trasmettevano in tempo reale contenuti protetti mentre le partite venivano diffuse dai titolari dei diritti. FIFA ha collaborato all’identificazione dei siti insieme a beIN Media Group, NBCUniversal, Motion Picture Association, Alliance for Creativity and Entertainment, UFC e Warner Bros. L’operazione si inserisce nel contrasto alle reti di streaming già osservato con PirloTV e le infrastrutture pirata colpite dalle autorità europee, ma sfrutta la concentrazione globale di pubblico generata dal Mondiale per colpire simultaneamente centinaia di portali clonati, aggregatori e domini di reindirizzamento.

Operation Red Card estende i blocchi in America Latina

L’intervento statunitense, denominato Operation Offsides, è stato affiancato da Operation Red Card, coordinata nel continente americano attraverso il programma International Computer Hacking and Intellectual Property. Le autorità hanno bloccato centinaia di siti aggiuntivi: 14 in Argentina, 223 in Ecuador, 28 in Perù, 309 in Brasile, 256 nella Repubblica Dominicana e 1.140 in Colombia. In Colombia sono state inoltre eseguite 13 perquisizioni contro la produzione e distribuzione di abbigliamento sportivo contraffatto, con undici arresti e condanne. Quattro membri del gruppo Los Ciberinfiltrados sono stati arrestati per avere violato sistemi di telecomunicazione e venduto accessi a contenuti pirata attraverso credenziali fraudolente, VPN, intercettazione di codici di sicurezza e manipolazione di profili aziendali. L’operazione mostra come lo streaming illegale non dipenda soltanto dalla ritrasmissione di un segnale: può includere accessi abusivi, furto di account e infrastrutture commerciali clandestine, come già emerso nella maxi-retata Europol contro nove reti di streaming pirata.

Phishing e streaming pirata condividono il modello industriale

Kratos e le reti di streaming del Mondiale appartengono a mercati criminali diversi, ma adottano la stessa logica di piattaforma. Il gestore centrale sviluppa l’infrastruttura, riduce la complessità tecnica e consente a clienti o affiliati di raggiungere un pubblico globale. Nel phishing, il prodotto è una pagina Microsoft pronta a sottrarre credenziali; nella pirateria, è un sistema di domini, player e reindirizzamenti capace di monetizzare traffico attraverso pubblicità, abbonamenti e raccolta di dati. Il Dipartimento di Giustizia avverte inoltre che molti siti di streaming illegale incorporano malware o moduli destinati al furto delle informazioni di pagamento. Il sequestro dei domini riduce la visibilità immediata, mentre la confisca dei server Kratos colpisce direttamente la capacità operativa del servizio. In entrambi i casi, tuttavia, la disruption diventa realmente efficace solo quando le prove raccolte permettono di risalire a sviluppatori, reseller, affiliati e flussi finanziari, trasformando la chiusura tecnica in una pressione giudiziaria duratura.