L’infrastruttura di Tycoon 2FA, una delle piattaforme di phishing-as-a-service (PhaaS) più diffuse tra i criminali informatici e la minaccia adversary-in-the-middle (AiTM) con il più elevato volume di attività rilevata, è stata smantellata, grazie alla collaborazione tra partner pubblici e privati, tra cui spiccano Proofpoint, Microsoft, Europol.
“L’azione di oggi si concentra su un importante attore del crimine informatico, Tycoon 2FA, responsabile del più alto volume di campagne di credential phishing AiTM secondo i dati Proofpoint”, commenta Selena Larson, Staff Threat Researcher di Proofpoint.
Indice degli argomenti
Neutralizzata la minaccia Tycoon 2FA
La collaborazione tra partner pubblici e privati ha visto cooperare Proofpoint, Microsoft, Europol, Cloudflare, Coinbase, Crowell, eSentire, Health-ISAC, Intel 471, Resecurity, The Shadowserver Foundation, SpyCloud e TrendAI, oltre ad altre forze dell’ordine europee, per neutralizzare Tycoon 2FA.
In particolare, Proofpoint ha offeryo un importante contributo nelle indagini delle forze dell’ordine e del settore privato sull’attività di Tycoon 2FA, sostenendo l’azione di Microsoft con dati che comprendono domini malevoli e informazioni sulle campagne Tycoon 2FA.
“Gli attacchi Tycoon hanno portato alla compromissione di decine di migliaia di account, e Proofpoint ha osservato come questi attacchi prendano di mira organizzazioni critiche in settori quali sanità, istruzione, pubblica amministrazione e difesa“, sottolinea Selena Larson.
L’azione di disruption contro Tycoon 2FA – e la causa legale che identifica il suo creatore – avranno un impatto significativo sulla piattaforma stessa, sulla relativa infrastruttura e sull’attività dei threat actor.
Le caratteristiche di Tycoon 2FA: le conseguenze del takeover degli account
Tycoon 2FA opera come un kit di phishing AiTM. La sua funzione principale è sottrarre username, password e cookie di sessione di Microsoft 365 e Gmail. Gli aggressori utilizzano questi cookie per aggirare i controlli di autenticazione a più fattori (MFA) nelle sessioni successive, ottenendo così il takeover completo dell’account (ATO) e accesso non autorizzato agli account, ai sistemi e ai servizi cloud dell’utente, inclusi quelli protetti dall’MFA come misura di sicurezza ulteriore.
“Secondo dati di Proofpoint, nel 2025 il 99% delle organizzazioni ha subito tentativi di account takeover, riusciti nel 67% dei casi. Tra questi, il 59% degli account compromessi aveva l’MFA attivo”, mette in guardia Selena Larson: “Sebbene non tutti questi attacchi siano riconducibili a Tycoon 2FA, i dati dimostrano l’impatto del phishing AiTM sulle aziende”.
Sebbene non tutte le campagne ATO che bypassano l’MFA siano attribuibili a Tycoon 2FA, quest’ultima resta la minaccia phishing AiTM con il più alto volume rilevato da Proofpoint.
I volumi variano in base all’attività dei criminali informatici: nel solo febbraio 2026, Proofpoint ha scoperto oltre tre milioni di messaggi riconducibili a Tycoon 2FA.
“Questi attacchi informatici, che consentono il takeover completo degli account, possono avere conseguenze devastanti, tra cui attacchi ransomware o la perdita di dati sensibili.
Mentre i criminali informatici continuano a prendere di mira le identità digitali, l’accesso agli account email aziendali rappresenta spesso il primo passo di una catena di attacchi dalle conseguenze distruttive. (…) Smantellare l’infrastruttura associata a Tycoon 2FA e identificare il presunto responsabile della creazione di questo prolifico strumento di hacking avrà un impatto significativo sul credential phishing che bypassa l’MFA e, si spera, infliggerà un duro colpo alphishing-as-a-service AiTM più prolifico al mondo”, conclude Selena Larson.
La disruption di Tycoon 2FA
In coordinamento con Europol, le forze dell’ordine di Lettonia, Lituania, Portogallo, Polonia, Spagna e Regno Unito hanno sequestrato l’infrastruttura ed altre misure operative. Microsoft e il co-ricorrente Health-ISAC hanno inoltre depositato una causa legale contro il presunto creatore di Tycoon 2FA, Saad Fridi, e alcuni associati non identificati.
L’azione di disruption e il procedimento civile, depositato presso il Southern District of New York, avranno un effetto rilevante sulle operazioni di Tycoon 2FA e sull’attività complessiva della minaccia.
Proofpoint ha offerto supporo all’azione di Microsoft fornendo dati sulle minacce tratti dalla propria visibilità, inclusi domini malevoli e informazioni sulle campagne Tycoon 2FA, e ha depositato una dichiarazione a supporto della causa.
Il 4 marzo 2026, Microsoft ha annunciato la causa legale e l’azione di disruption contro il creatore di Tycoon 2FA e diversi associati non identificati. Proofpoint sostiene il procedimento civile fornendo una dichiarazione sull’attività di Tycoon, con dettagli sull’infrastruttura e sulle campagne. Microsoft ha posto sotto sequestro 330 domini del pannello di controllo associati a Tycoon 2FA. Azione che avrà un impatto sulle operazioni, interrompendo l’attività criminale in corso.
I takeover di account di successo possono causare danni ingenti alle organizzazioni colpite, tra cui perdite finanziarie e reputazionali, sottrazione di dati proprietari e potenziali attacchi successivi come il ransomware, con conseguenze distruttive per l’intera organizzazione.
