Kratos wurde laut BKA als Mietplattform für Phishing-Angriffe betrieben. Das Werkzeug ermöglichte es Angreifern, gefälschte Microsoft-Anmeldeseiten zu erstellen und zu verwalten. Ziel waren laut den Ermittlern vor allem E-Mail-Adressen und Passwörter, mit denen anschließend Microsoft-Konten übernommen werden konnten.

Das BKA erklärt, der Zugang zu diesen Konten sei häufig genutzt worden, um weitere Straftaten zu begehen. Die Behörde deutet damit auf Aktivitäten nach einer Kompromittierung hin, etwa auf Geschäftsmail-Betrug, Datendiebstahl, Kontoübernahmen und Phishing-Angriffe gegen Kontakte der betroffenen Personen.

Nach Angaben des BKA hatte Kratos bestätigte Opfer in 35 Ländern. Die Behörde bezeichnet den Dienst als „einen der weltweit am häufigsten genutzten kriminellen Phishing-Dienste“. Ermittler gehen demnach davon aus, dass mehr als 1.800 kriminelle Kunden Kratos gekauft und für etwa 15.000 Phishing-Kampagnen pro Monat eingesetzt haben. Jede dieser Kampagnen habe potenziell mehrere tausend Empfänger weltweit erreichen können.

Die Einnahmen des Betreibers bezifferten die Behörden auf mindestens 300.000 Euro seit 2024. Dieses Geld soll aus Abonnementgebühren für den Zugang zur Kratos-Plattform stammen.

Die Aktion wurde von der Generalstaatsanwaltschaft Frankfurt am Main, Zentralstelle zur Bekämpfung der Internetkriminalität, und dem Bundeskriminalamt geleitet. Dabei arbeiteten die deutschen Behörden mit US-Strafverfolgungsbehörden zusammen. Im Zuge des Einsatzes wurden mehr als 200 Server sichergestellt. Nach Darstellung des BKA wurde der Dienst dadurch wirksam gestört und funktionsunfähig gemacht.

Zusätzlich wurde auf der Website des Dienstes ein Sicherstellungsbanner eingeblendet. Darin wird die Maßnahme als Teil der Operation Olympus Blade bezeichnet. Außerdem heißt es dort, dass die Inhaberschaft der Domain inzwischen auf das FBI übertragen wurde.

Mit der Festnahme des technischen Administrators und der Abschaltung zentraler Teile der Infrastruktur könnten die Phishing-Kampagnen nach Angaben des BKA nicht weitergeführt werden. Zugleich erwarten die Ermittler von den beschlagnahmten Servern weitere forensische Beweise, die zur Identifizierung von Kunden des Dienstes führen könnten.