Eine koordinierte Aktion von Europol und mehreren Sicherheitsunternehmen hat die Phishing-as-a-Service-Plattform Tycoon2FA zerschlagen. Die Infrastruktur war darauf ausgelegt, Multi-Faktor-Authentifizierung zu umgehen und Kontoübernahmen zu ermöglichen. Nach Angaben von Trend Micro spielte die Bedrohungsanalyse von TrendAI eine zentrale Rolle bei der Aufklärung der Operation.
Foto: Trend Micro
Robert McArdle, Director für Cybercrime Research bei TrendAI
Eine internationale Kooperation von Strafverfolgungsbehörden und Unternehmen aus der Cybersicherheitsbranche hat die Plattform Tycoon2FA abgeschaltet. Der Dienst galt als eine der größeren Phishing-as-a-Service-Infrastrukturen, die gezielt darauf ausgelegt waren, Multi-Faktor-Authentifizierung (MFA) zu umgehen und so Zugriff auf Onlinekonten zu ermöglichen.
Nach Angaben von Trend Micro lieferte der Geschäftsbereich TrendAI™ wesentliche Erkenntnisse zur Infrastruktur, zu Kampagnenmustern und zur möglichen Identität der Betreiber. Diese Informationen flossen in Ermittlungen von Europol und weiteren Partnern ein. Zu den beteiligten Organisationen zählen unter anderem Cloudflare, Coinbase, Crowell, eSentire, Health-ISAC, Intel471, Microsoft, Proofpoint, Resecurity, Shadowserver und SpyCloud.
Tycoon2FA tauchte erstmals im August 2023 auf und wurde als abonnementbasiertes Phishing-Toolkit angeboten. Ziel war es, Angreifern technisch anspruchsvolle Methoden zur Verfügung zu stellen, mit denen sich Authentifizierungsprozesse in Echtzeit abfangen lassen.
Technisch setzte Tycoon2FA auf sogenannte Adversary-in-the-Middle-Techniken. Dabei werden Anmeldedaten nicht nur abgefangen, sondern auch aktive Authentifizierungssitzungen übernommen. Neben Benutzernamen und Passwörtern konnten so auch Einmalpasswörter und aktive Session-Cookies abgegriffen werden.
Diese Cookies ermöglichen es Angreifern, bestehende Sitzungen wiederzuverwenden und so Zugriff auf Konten zu erhalten, selbst wenn Multi-Faktor-Authentifizierung aktiviert ist. Die Plattform zielte laut Trend Micro vor allem auf Microsoft-365-Konten und andere Cloud-Dienste ab.
Zum Zeitpunkt der Zerschlagung zählte Tycoon2FA rund 2.000 Nutzer. Seit dem Start wurden mehr als 24.000 Domains in den Kampagnen eingesetzt.
Die Bedrohungsforscher von TrendAI™ beobachteten die Infrastruktur und das Verhalten der Betreiber über einen längeren Zeitraum. Im November 2025 konnten sie die Operation einem Akteur zuordnen, der unter den Pseudonymen SaaadFridi und Mr_Xaad auftrat. Nach Einschätzung der Forscher handelt es sich dabei um den Entwickler und Hauptbetreiber des Dienstes.
Frühere Aktivitäten deuten darauf hin, dass der Akteur zunächst im Bereich Web Defacement aktiv war, bevor er sich der Entwicklung groß angelegter Phishing-Kits zuwandte. Erkenntnisse zu eingesetzten Werkzeugen, Infrastrukturmustern und operativen Abläufen wurden an Europol weitergegeben.
„Das war keine einzelne Phishing-Kampagne. Es war ein industrialisierter Dienst, der MFA-Bypass für Tausende von Kriminellen zugänglich machte“, erklärt Robert McArdle, Director für Cybercrime Research bei TrendAI. „Identität ist heute die primäre Angriffsfläche. Wenn Session Hijacking als Abo-Modell angeboten wird, verschiebt sich das Risiko von Einzelfällen hin zu systemischer Bedrohung.“
Phishing-as-a-Service-Plattformen werden häufig als weniger kritisch wahrgenommen als Ransomware. In der Praxis dienen sie jedoch häufig als Einstiegspunkt für weitere Angriffe.
Über Adversary-in-the-Middle-Kampagnen erbeutete Zugangsdaten und Session Tokens können auf kriminellen Marktplätzen verkauft oder an sogenannte Access Broker weitergegeben werden. Von dort aus lassen sich weitere Angriffe wie Business E-Mail Compromise (BEC), Datendiebstahl oder Ransomware starten.
Nach Einschätzung von Trend Micro zeigt die Zerschlagung der Plattform, wie wichtig langfristige Bedrohungsanalyse und Zusammenarbeit zwischen Sicherheitsunternehmen und Strafverfolgungsbehörden sind. Gleichzeitig warnen die Forscher davor, dass die grundlegende Bedrohung durch identitätsbasierte Angriffe bestehen bleibt. Auch zuvor gestohlene Zugangsdaten oder Session-Cookies könnten weiterhin im Umlauf sein.
