Tycoon 2FA mantém atividade após operação

A plataforma de Phishing-as-a-Service (PhaaS) Tycoon 2FA continua operacional após a recente operação internacional de desmantelamento, segundo a CrowdStrike.

Apesar da apreensão de 330 domínios e ações legais coordenadas pela Europol e pela Microsoft, a atividade da plataforma regressou rapidamente aos níveis anteriores. Após uma quebra inicial para cerca de 25% nos dias quatro e cinco de março, os volumes recuperaram poucos dias depois.

A Tycoon 2FA, ativa desde 2023, permite a realização de ataques de phishing com capacidade para contornar mecanismos de autenticação multifator (MFA) e comprometer contas sem gerar alertas.

De acordo com dados referidos pela CrowdStrike, a plataforma foi responsável por 62% das tentativas de phishing bloqueadas pela Microsoft em 2025, tendo gerado mais de 30 milhões de emails maliciosos por mês e visado cerca de 500 mil organizações. Estima-se que tenha afetado aproximadamente 96 mil vítimas a nível global.

A análise indica que as técnicas utilizadas pelos atacantes (TTP) não sofreram alterações após a operação. Entre os métodos identificados estão páginas CAPTCHA maliciosas, roubo de cookies de sessão, extração de endereços de email via JavaScript e utilização de credenciais comprometidas para acesso a ambientes cloud.

A plataforma tem sido utilizada em múltiplos cenários, incluindo Business Email Compromise (BEC), hijacking de threads de email e comprometimento de contas Cloud para distribuição de URL maliciosos.

A CrowdStrike refere ainda que alguns domínios e infraestruturas utilizadas pela Tycoon 2FA não foram abrangidos pela operação, o que poderá ter facilitado a rápida recuperação do serviço. Foram também identificados novos endereços IP associados à atividade após a intervenção das autoridades.

Apesar do impacto limitado, a operação terá causado disrupção temporária e poderá afetar a reputação do serviço no ecossistema de cibercrime.

O caso evidencia os desafios associados ao combate a plataformas PhaaS, que operam de forma distribuída e resiliente, permitindo rápida reconfiguração após ações de mitigação.