Kratos解体後もMicrosoft 365を標的としたAiTM攻撃を確認

PhaaS終息後も続くAiTM攻撃

2026年7月、フィッシング・アズ・ア・サービス（PhaaS）プラットフォーム「Kratos」は公式にサービスを終了したものの、その技術やインフラの特徴は依然としてMicrosoft 365を標的とした攻撃に悪用されている。セキュリティ研究者は、Kratosの技術やインフラパターンが流出し、現在もサイバー犯罪者によって再利用されていると警告している。Kratosは「Operation Olympus Blade」によって停止され、主要な開発者もインドネシアで逮捕されたが、関連する攻撃手法は現在も活動を続けている。

Kratosは認証情報の窃取を目的とした高度なPhaaS基盤を提供し、大規模なアカウント侵害を可能にしていた。Microsoft 365を標的とした攻撃では、Adversary-in-the-Middle（AiTM）攻撃によってセッショントークンを窃取し、多要素認証（MFA）を回避する機能を備えていた。また、KratosのインフラはTycoon、Flowerstorm、EvilProxyといった主要なAiTMフィッシングキットと共通点が多く、サイバー犯罪グループの間で共有基盤として利用されていたことが確認されている。

さらに、ANY.RUNの研究者はKratosフィッシングキットに固有のフィンガープリントを特定し、攻撃の追跡に活用している。KratosはSneaky2FAなどの従来のPhaaSよりも高度化しており、認証情報の窃取だけでなく、セッション全体の乗っ取りを可能にする仕組みを備えていた。自動化されたフィルタリングや検知回避機能を利用して被害者を精巧なフィッシングページへ誘導し、Microsoft 365のメール、ドキュメント、会議サービスなどへの不正アクセスを実現していた。

Kratosのサービス終了後も、Kali365などの後継PhaaSが急速に登場しており、AiTMを悪用したMicrosoft 365への攻撃は継続している。PhaaSを取り巻く脅威は依然として進化を続けており、組織にはIOC（Indicators of Compromise）を活用した悪性ドメインや関連インフラの監視・遮断など、継続的な対策が求められる。