Microsoft 365の多要素認証をバイパスするフィッシングツール「Kratos」が摘発、サーバー200台以上を停止

要点

• ドイツと米国の捜査当局が、世界的なフィッシングツール「Kratos」の主要インフラを閉鎖し、インドネシアで開発者を逮捕した。

• 同ツールはMicrosoft 365のセッション情報を盗み出し、多要素認証（MFA）を回避する「中間者攻撃」の機能を備えていた。

• 2024年後半以降、世界30カ国以上で数十万人が被害に遭い、約1,800人の犯罪者が有料で同サービスを利用していた。

• 対策として、アクティブなセッションの強制的な無効化や、フィッシング耐性のある認証方式への移行が推奨されている。

• ドイツのフランクフルト検察庁サイバー犯罪対策部門（ZIT）と連邦刑事庁（BKA）は2026年7月20日、世界で最も広く悪用されているフィッシングキット（フィッシング詐欺サイトを簡単に構築するためのツール一式）の一つである「Kratos（クレイトス）」の中核インフラを停止したと共同発表した。この作戦は米国とドイツの捜査機関が連携して実施したもので、同ツールの開発・運営を行っていた男もインドネシア当局によって逮捕された。

摘発の規模と組織的な運営実態

発表によると、捜査当局はKratosの運用に使われていた200台以上のサーバーをオフラインにした。当局の推計では、これまでに約1,800人の顧客が暗号通貨（ブロックチェーン技術を利用したデジタルな通貨）を支払い、このツールを購読していたという。これらの顧客によって月間約15,000件のフィッシングキャンペーンが実行されていたとされる。

Kratosによる被害は2024年後半以降、欧米を中心に30カ国以上で数十万人に達しており、運営者はこれまでに30万ユーロ以上の利益を得ていたと推定されている。

このツールは「フィッシング・アズ・ア・サービス（PaaS＝フィッシング攻撃に必要なインフラを有料提供するサイバー犯罪モデル）」の形態で提供されていた。顧客はTelegramの専用ショップやウェブサイトを通じてアカウントを登録・管理し、利用料金を支払うことで利用できた。これにより、高度な技術を持たない犯罪者であっても、容易に標的に対して機能するフィッシングサイトを展開できるフランチャイズのような仕組みが構築されていた。

多要素認証をバイパスする技術的アプローチ

Kratosの最大の特徴は、一般的なパスワードなどのログイン情報を盗むだけでなく、ログイン後に生成される「セッションクッキー（ウェブブラウザにログイン状態を一時的に保存するためのデータ）」を盗み出す点にある。このセッションクッキーがあれば、多要素認証（MFA＝パスワードに加え、スマートフォンの認証アプリなど複数の手段で本人確認を行う認証方式）が設定されているアカウントであっても、二要素目の確認を回避して本人になりすまし、アカウントへ直接アクセスすることが可能となる。

セキュリティ企業ANY.RUNによる解析の結果、Kratosには2つの動作モードが存在することが判明している。一つは単純なPHPページを用いてパスワードなどの資格情報のみを収集するモードである。もう一つは、Node.jsを用いたリバースプロキシ（ユーザーとウェブサーバーの間で通信を中継するシステム）として動作するモードである。

後者のモードでは、被害者のログイン要求をリアルタイムで本物のMicrosoftのサーバーに中継し、ログイン成功時に発行される正規のセッション情報を横取りする。これは「Adversary-in-the-Middle（AiTM＝中間者攻撃）」と呼ばれる手法であり、従来のMFAの防御力を著しく低下させる要因となっていた。

Microsoftによる追跡と具体的な攻撃事例

Microsoftの脅威インテリジェンス部門は、このKratosと同等のキットを「SneakyLog（スニーキーログ）」という名称で追跡しており、遅くとも2025年初頭からMicrosoft 365の資格情報およびMFAの窃盗キャンペーンを確認していた。

具体的な事例として、2026年2月10日には、製造業、小売業、ヘルスケア部門などを中心とする主に米国の約100の組織を標的としたキャンペーンが検出された。この攻撃では、税務関連の案内（W-2文書）を装ったメールが送信され、そこに埋め込まれた受信者固有のQRコードをスキャンさせようとする手法が用いられた。スキャンしたユーザーは、偽のMicrosoft 365ログイン画面へと誘導される仕組みだった。

BKAは、盗み出された情報はさらなるフィッシングの踏み台として利用されたり、他者に転売されたりする危険があると警告している。また、社内のMicrosoft 365環境全体へと侵入を拡大させ、取引先などを装って金銭をだまし取る「ビジネスメール詐欺（BEC＝取引先や経営層になりすましたメールを送り、金銭をだまし取るなどの詐欺）」の足がかりにされるケースも多いという。

推奨される対策と今後の見通し

Microsoftは、今回のキャンペーンによって被害を受けた可能性のあるユーザーに対して個別に通知を行っている。

復旧の手順は、Kratosのどの動作モードで攻撃されたかによって異なる。単にパスワードなどの資格情報のみが盗まれた場合、パスワードのリセットとMFAの再設定を行うことでアカウントの安全性を確保できる。一方で、リバースプロキシモードによって有効なセッション情報自体が盗まれていた場合、パスワードを変更しても既存のログイン接続が維持されるため、アクティブなセッションを強制的に無効化（取り消し）する作業が必要となる。また、重要なアカウントについては、パスキーなど「フィッシング耐性のある認証方式（FIDO2やパスキーなど、偽サイトに誘導されてもログイン情報を盗まれないように設計された認証技術）」への移行が必要であるとされている。

防御側が攻撃を検知する手がかりとして、ANY.RUNはKratosのログインページがほぼ確実に「barr.svg」および「lg.svg」という特定の画像ファイルをロードし、盗んだ情報を「next.php」または「save.php」に送信するという特徴を挙げている。この挙動を監視することで、90%の確率で侵害を検出でき、誤検知もほぼ発生しないという。

今回の摘発により、Kratosの主要サーバー群はすべてオフラインとなり、当面のキャンペーン継続は不可能となった。しかし、依然として約1,800人の顧客が手元にツールのソースコードを保持している可能性や、Kratosが使い捨てのドメインや改ざんされたWordPressサイトなどの分散型インフラ上で運用されていたことから、専門家はサーバーが差し押さえられた後も、別の名前で活動が再開される可能性について警戒を呼びかけている。