サイバー犯罪
法執行機関がフィッシングサービス「Kratos/Sneaky2FA」を解体：TrendAI™が捜査を支援
近年のMicrosoft 365認証情報窃取の大部分を担っていたフィッシング・アズ・ア・サービス（PhaaS）プラットフォーム「Kratos」が、「Olympus Blade」と呼ばれる作戦により、ドイツ連邦刑事庁（BKA）とインターネット犯罪対策中央局（ZIT）によって閉鎖されました。
- 近年のMicrosoft 365認証情報窃取の大部分を担っていたフィッシング・アズ・ア・サービス（PhaaS）プラットフォーム「Kratos」が、米国当局と連携したドイツ連邦刑事庁（BKA）およびインターネット犯罪対策中央局（ZIT）による「Olympus Blade」作戦によって閉鎖されました。開発者兼技術管理者はインドネシアで逮捕されました。Kratosは、2024年10月からMicrosoftアカウントを標的としてきたフィッシングキット「Sneaky2FA」から発展したものです。
- 1,800を超える犯罪者がKratosの利用権を契約し、月間およそ15,000件のフィッシングキャンペーンを展開していたと推定されます。200台を超えるサーバが停止され、被害者は欧州と米国を中心に30カ国以上に及び、2024年後半以降の総数は数十万人に上ります。
- TrendAI™は、脅威インテリジェンス、インフラのフィンガープリンティング、被害実態の分析（ビクティモロジー）、Kratosの背後にいる攻撃者の分析を提供することで捜査を支援しました。これらの情報は2025年からBKAに提供されてきました。
- サブスクリプション型のモデルによって、Kratosは規模を拡大することができました。契約者はキットをレンタルし、サービスの支援を受けながらフィッシング攻撃を展開することができたのです。今回のテイクダウンが1人の逮捕にとどまらない意味を持つのはこのためです。高度なスキルを持たない攻撃者による大量の認証情報窃取キャンペーンを可能にしていたインフラとビジネスモデルそのものが、今回の作戦によって崩されました。
はじめに
2026年7月20日、ドイツ連邦刑事庁（BKA）とフランクフルトに拠点を置くインターネット犯罪対策中央局（ZIT）は、米国当局と連携し、Microsoft 365の認証情報を大規模に窃取するために使用されていたフィッシング・アズ・ア・サービス（PhaaS）プラットフォーム「Kratos」の中核インフラを解体しました（ドイツ語）。また、インドネシア当局は本サービスの開発者兼技術管理者を逮捕しました。200台を超えるサーバが停止され、プラットフォームのインフラは完全にオフラインとなりました。
1,800を超える犯罪者がKratosの利用権を購入し、月間およそ15,000件のフィッシングキャンペーンを展開していたと推定されます。キャンペーン1件あたり数千人の受信者に到達し得る規模でした。被害者は欧州と米国を中心に30カ国以上にわたり、2024年後半以降の被害者総数は数十万人に上ります。BKAとZITによると、このグループは2024年以降、30万ユーロ（約34万2,000米ドル）を超える収益を得ていました。
これまでの経緯：Sneaky2FAからKratosへ
Kratosは新しいキットではありません。2024年10月以降Microsoft 365アカウントを標的としてきた中間者攻撃（AiTM：Adversary-in-the-Middle）型フィッシングキット「Sneaky2FA」が直接進化したものです。Sneaky2FAは、被害者とMicrosoftの正規ログインサーバとの間で認証セッションをリアルタイムに中継し、その過程で認証情報とセッショントークンの両方を攻撃者が窃取できるようにしていました。この仕組みによって、単なるパスワードの収集にとどまらず、多要素認証（MFA）の突破までもが可能になっていたのです。
Sneaky2FAはTelegramを介したサブスクリプション型モデルで販売され、契約者にはフィッシングドメインやアンチボットチェック（Cloudflare Turnstileなど）を含む、すぐに使えるサービス一式が提供されていました。2025年11月には、ブラウザ・イン・ザ・ブラウザ（BitB）型のログインウィンドウが追加されました。これは、アドレスバーを確認するよう訓練されたユーザさえ欺くほど精巧なものでした。キットをレンタルし、キャンペーンの実行は借り手に任せるというこのビジネスモデルこそが、低スキルの攻撃者でも、BKAとZITが今週明らかにしたような規模の攻撃を実行できるようにした要因です。
Kratosに対する取り組み
TrendAI™は、2024年12月からSneaky2FAとそのKratosへの進化を追跡し、2025年からBKAとインテリジェンスを共有してきました。この間、Kratosインフラのフィンガープリンティングやフィッシングパネルの特定手法に加えて、観測された被害実態（ビクティモロジー）やインフラの最新情報を継続的に提供してきました。
2025年3月には、KratosのPhaaSサービスを宣伝するTelegramチャネルを確認しました。さらに調査を進めた結果、KratosはSneaky2FAのリブランドである可能性が高いことが判明しました。当社は運営者とその関係者について詳細な調査を実施し、その結果をBKAに共有することで捜査を支援しました。
こうした協力の枠組みは、2026年3月に実施されたフィッシングサービス「Tycoon 2FA」の解体を支えたものと同じです（詳細は「ユーロポール、Microsoft、TrendAI™などが連携して摘発作戦を実施：フィッシングサービス「Tycoon 2FA」を解体」をご参照ください）。Tycoon 2FAの際も、継続的なモニタリングを通じて収集した脅威インテリジェンスが、作戦に先立ってユーロポールに提供されました。キットのインフラとその世代交代を長期にわたって追跡し続けてこそ、一時点のスナップショットではなく、法執行機関が実際に行動へ移せる情報を提供することができます。
これほどの規模を持つプラットフォームを、開発者の逮捕を含む一度の連携作戦でオフライン化できたことは、大きな成果です。BKAのサイバー犯罪部門責任者であるCarsten Meywirth氏は、今回の作戦を先駆的な取り組みであり、他のサイバー犯罪者に対する明確な警告であると評価しました。当社もこの評価に同意するとともに、BKAとそのパートナーの功績を称えます。数々のサイバー犯罪の摘発事例と同様に、最も大きな成果は、法執行機関と民間セキュリティ業界の協力から生まれます。TrendAI™は、このコミュニティの長年にわたる積極的な一員として、デジタル情報を安全にやり取りできる世界の実現に貢献していきます。
参考記事
Law Enforcement Takes Down Kratos/Sneaky2FA Phishing Service, With an Assist From TrendAI™
By: Christopher Boyton, Stephen Hilt
翻訳：与那城 務（Platform Marketing, TrendAI Research）