Microsoft und Europol sprengen globales Phishing-as-a-Service-Netzwerk
Tycoon 2FA, eine der weltweit größten Phishing-as-a-Service-Plattformen (PhaaS), wurde nach einer global koordinierten Strafverfolgungsaktion zerschlagen.
Die Operation wurde von Europol geleitet und umfasste Polizeikräfte aus Lettland, Litauen, Portugal, Polen, Spanien und dem Vereinigten Königreich.
Sie führte zur erfolgreichen Zerschlagung einer Phishing-Operation, die seit mindestens August 2023 aktiv war und Tausenden von Cyberkriminellen den Zugriff auf E-Mail- und Cloud-basierte Dienstkonten ermöglichte.
Hunderte von Domains geschlossen
Im Rahmen der Operation schalteten die Strafverfolgungsbehörden 330 Domains aus, die die "Kerninfrastruktur" des Dienstes bildeten, darunter Phishing-Portale und Backend-Kontrollpanels, die von Angreifern zur Verwaltung ihrer Kampagnen genutzt wurden.
Eine Reihe privater Organisationen leistete ebenfalls Unterstützung, darunter Cloudflare, Coinbase, Intel471, Microsoft, Proofpoint, Shadowserver Foundation, SpyCloud und Trend Micro.
Einige Experten gehen davon aus, dass die Plattform in der Untergrundszene sehr beliebt ist. Offenbar wurden zwischen August 2023 (dem Zeitpunkt der Einführung) und März 2024 über die mit der Operation verbundene Bitcoin-Wallet Kryptowährungen im Wert von mehr als 400.000 US-Dollar eingenommen.
Tycoon 2FA funktionierte als Man-in-the-Middle-Angriff (AiTM) und fing Anmeldedaten und Sitzungscookies ab, um sich unbefugten Zugriff auf Benutzerkonten zu verschaffen, selbst auf solche, die mit MFA gesichert waren.
Laut Europol generierte Tycoon 2FA jeden Monat mehrere zehn Millionen Phishing-E-Mails und ermöglichte den unbefugten Zugriff auf fast 100.000 Organisationen weltweit, darunter Schulen, Krankenhäuser und öffentliche Einrichtungen.
Im Laufe der Jahre wurde es aktiv unterstützt und regelmäßig aktualisiert und verbessert. Die letzte größere Aktualisierung erfolgte im April 2025, um manuelle und statische Mustererkennungsanalysen besser umgehen zu können, Fingerabdrücke und Markierungen zu umgehen und Browser-Automatisierungstools zu erkennen.
Bis Mitte 2025 entfielen laut Europol rund zwei Drittel (62 %) aller von Microsoft blockierten Phishing-Versuche auf Tycoon 2FA.
Die Plattform wird in Untergrundforen verkauft, wobei die Preise bei 120 US-Dollar für 10 Tage Zugang beginnen, was sie für eine Vielzahl von Cyberkriminellen zugänglich macht.