Digital Crimes Unit (DCU) Microsoftu, we współpracy z Cloudflare, rozbiła RaccoonO365 — operację typu phishing-as-a-service (PhaaS), odpowiedzialną za kradzież ponad 5000 poświadczeń Microsoft 365 w 94 krajach od lipca 2024 r.
🔍 Kluczowe działania:
- Nakaz sądowy (Południowy Okręg Nowego Jorku): Umożliwił przejęcie 338 domen używanych przez sieć
- Likwidacja po stronie Cloudflare: Zablokowano domeny, wyświetlono ekrany ostrzegające przed phishingiem, zakończono działanie skryptów Worker, zawieszono konta
- Przebieg w czasie: 2–8 września 2025 r.
📌 O RaccoonO365 (znanym też jako Storm-2246):
- Sprzedawany w modelu subskrypcji: 355 USD za 30 dni / 999 USD za 90 dni
- Klienci mogli atakować do 9000 adresów e-mail dziennie
- Podszywał się pod zaufane marki (Microsoft, DocuSign, Adobe, Maersk)
- Używał Cloudflare Turnstile CAPTCHA + Workers, aby filtrować boty i wpuszczać wyłącznie prawdziwe ofiary
- Umożliwiał obchodzenie MFA i utrzymywanie trwałego dostępu
👤 Atrybucja:
- Mózg operacji: Joshua Ogundipe (Nigeria)
- Zdemaskowany przez błąd w zakresie bezpieczeństwa operacyjnego, który ujawnił portfel kryptowalutowy
- Zarobił ponad 100 000 USD w kryptowalutach, sprzedał 100–200 subskrypcji (prawdopodobnie jest to wartość zaniżona)
- Do międzynarodowych organów ścigania przekazano zawiadomienie o popełnieniu przestępstwa
⚠️ Skutki:
- Zaatakowano ponad 2300 organizacji w USA, w tym ponad 20 podmiotów z sektora ochrony zdrowia
- Wykorzystywany w kampaniach dostarczających złośliwe oprogramowanie i ransomware (Latrodectus, GuLoader, BruteRatel C4)
- Niedawno reklamował usługę AI-MailCheck opartą na AI, mającą zwiększyć wyrafinowanie phishingu
📢 Stanowisko Cloudflare:
Ta likwidacja oznacza strategiczną zmianę — od reaktywnych działań wymierzonych w pojedyncze domeny do proaktywnego zakłócania działalności na dużą skalę, co podnosi koszty operacyjne cyberprzestępców.
💡 Dlaczego to ważne
RaccoonO365 pokazuje, jak PhaaS urynkawia cyberprzestępczość, udostępniając phishing na dużą skalę osobom o niskich umiejętnościach. Proaktywne partnerstwa publiczno-prywatne mają kluczowe znaczenie dla rozbijania takiej infrastruktury, zanim rozwinie się ona jeszcze bardziej.
W Alcaeus Services pomagamy organizacjom przygotować się na zagrożenia typu phishing-as-a-service, wzmacniać ochronę tożsamości i wdrażać warstwową obronę.
