Zu einem bestimmten Zeitpunkt, Mitte 2025, war Tycoon 2FA für mehr Erkennungen durch Identity Threat Protection (ITP) verantwortlich als jedes andere Phishing-Kit.
Tycoon 2FA bot Angreifenden einen erschwinglichen, zuverlässigen Dienst zur MFA-Umgehung von MFA bei Microsoft 365- und Google Workspace-Tenants – ohne die Notwendigkeit, die für Attacker-in-the-Middle-Kampagnen (AitM) erforderliche Infrastruktur selbst aufzubauen und zu warten.
All das änderte sich im März 2026, als eine weltweite Kampagne der Strafverfolgungsbehörden 330 Domains im Zusammenhang mit Tycoon-2FA-Aktivitäten zerschlug – darunter das verteilte Kontrollpanel und die mit dem Kit erstellten Phishing-Seiten.
Analysen von Okta Threat Intelligence belegen, dass die Operation der Ermittlungsbehörden die Tycoon-Aktivitäten zwar empfindlich getroffen hat, ein Teil der Operatoren den Service jedoch nach wie vor nutzt. Verschiedene Akteure diversifizieren offenbar in neue Social-Engineering-Taktiken, wie etwa den Missbrauch des Device Code Authorization Flows.
Die Entstehung von Tycoon
Das ursprüngliche Tycoon-Phishing-Kit erschien 2023 und bot nicht die Möglichkeit, Session-Tokens abzufangen.
Doch als Kontrollmechanismen wie die Multifaktor-Authentifizierung (MFA) herkömmliches Phishing erschwerten, entwickelte sich das Kit zu Typhoon 2FA weiter, einem AiTM-Phishing-Kit, das Sitzungs-Tokens in Echtzeit erfasste. Der Dienst gewann rasant an Beliebtheit und zielte primär auf Microsoft 365- und Google-Konten ab.
Kund:innen mit geringen technischen Kenntnissen konnten Tycoon 2FA für wenige hundert Dollar pro Monat über private Telegram-Kanäle abonnieren und so einen End-to-End-Service für gehackte Accounts nutzen. Angreifende verschickten zig Millionen Phishing-E-Mails, die ahnungslose Nutzer:innen auf Tycoon 2FA leiteten.
Eine Werbeanzeige auf Telegram für das Tycoon 2FA PhaaS-Kit, die wichtige Features wie das Erfassen von Sitzungs-Token bewirbt und zur Umgehung von MFA verwendet werden kann.
Gezielt ausgewählte Benutzende wurden dazu verleitet, sich auf vertrauten Login-Seiten anzumelden, die bekannte Service Provider imitierten. Die E-Mail-Adresse des anvisierten Benutzenden war auf der Phishing-Seite in der Regel vorausgefüllt.
Die E-Mail-Adresse eines anvisierten Benutzenden war auf den Tycoon-2FA-Phishing-Seiten in der Regel vorausgefüllt.
Mithilfe eines transparenten Reverse-Proxies leitete Tycoon 2FA die Anmeldedaten einer Person an den legitimen Dienst weiter und übertrug die meisten Arten von MFA-Abfragen, die von den Nutzer:innen bestätigt wurden. Wenn ein imitiertes System nach erfolgreicher Authentifizierung ein Sitzungs-Token an den Browser zurücksandte, fing der Proxy von Tycoon 2FA dieses ab.
Von dort aus konnten Angreifende das Sitzungs-Token erneut einspielen und sich Zugriff auf das Konto verschaffen. Das Wiederverwenden eines Sitzungs-Tokens umgeht sowohl Login- als auch MFA-Abfragen. Das Einspielen abgefangener Sitzungs-Tokens hat sich zu einem der häufigsten Identity-basierten Angriffe entwickelt.
Bis Mitte 2025 war Tycoon 2FA das am häufigsten beobachtete Phishing-Kit mit diesen AitM-Fähigkeiten. Im Juli 2025 erkannte Okta Identity Threat Protection 11.199 Phishing-Versuche gegen Microsoft-Kund:innen, die Identitäten mit Okta föderiert haben – eine Zahl, die mehr als doppelt so hoch war wie in den drei vorangegangenen Monaten zusammen.
Bis August 2025 sanken die Erkennungen auf 5.982, bevor sie noch weiter zurückgingen. In dem Monat vor dem Takedown am 4. März 2026 belief sich die Zahl der Tycoon-2FA-Phishing-Versuche auf nur noch 885.
Paradoxerweise beobachteten wir in den Wochen nach der Takedown-Aktivität eine erhöhte Anzahl von Erkennungen.
Okta erkannte bis Ende März 2026 1.470 Tycoon-2FA-Phishing-Versuche.
Die anhand von Okta-Daten beobachteten Erkennungen sind weiterhin rückläufig, jedoch nicht vollständig verschwunden und beliefen sich im April 2026 auf 631.
Anpassung
Nach der Störaktion zeigte sich die Anpassungsstrategie der Tycoon-2FA-Operatoren als Erstes in der Erkennung einer neu aufgebauten, stärker diversifizierten Infrastruktur.
Vor der Maßnahme der Strafverfolgungsbehörden stammten die meisten Tycoon 2FA-Erkennungen aus den Netzwerken von nur drei Unternehmen: Global Connectivity Solutions, M247 Europe SRL und Hivelocity.
Bereits ein bis zwei Tage nach dem Takedown tauchte neue Infrastruktur auf. Der einzige existierende Netzwerkbetreiber, der weiterhin die Tycoon-2FA-Infrastruktur hostete, war M247 Europe SRL. Es wurden vier neue Betreiber beobachtet, die Aktivitäten im Zusammenhang mit Tycoon 2FA hosteten, darunter einige kleinere Anbieter.
Die Tycoon 2FA-Phishing-Infrastruktur wurde bei neuen Service Providern beobachtet, da ihre Betreibenden sich nach einem Einsatz der Strafverfolgungsbehörden im März 2026 diversifizierten.
Eine interessantere Entwicklung ist das Interesse von Angreifenden an einer unauffälligeren Angriffsform: dem Device Code Phishing.
Bei dieser Methode missbrauchen Angreifende den OAuth 2.0 Device Authorization Grant, ein Authentifizierungsverfahren, das für Geräte mit beschränktem Input entwickelt wurde und auch häufig zur Autorisierung von Befehlszeilenanwendungen eingesetzt wird. Da das Login bei Streaming-Diensten direkt am TV-Gerät umständlich ist, bekommen Benutzer:innen einen Code angezeigt und werden aufgefordert, die Authentifizierung auf einem besser geeigneten Gerät durchzuführen. Nach der Authentifizierung werden OAuth-Token an den anfragenden Client ausgestellt. Angreifende sehen in diesem abstrahierten Flow eine große Chance, da Benutzer:innen den Zugriff auf eine Anwendung genehmigen, die sich nicht zwangsläufig auf ihrem Gerät befindet. Wenig überraschend ist Phishing mit Gerätecodes zu einem kommerzialisierten Cyberkriminalitätsdienst geworden. EvilTokens ist ein solches gehostetes Device-Code-Phishing-Kit, das unter anderem auf Microsoft-Umgebungen abzielt.
Bedrohungsforscher:innen bei Proofpoint entdeckten kürzlich einen aufschlussreichen Hinweis, der darauf hindeutet, dass sogar Nutzer:innen von Tycoon 2FA ihre Methoden zugunsten dieser Angriffsart umstellen. Sie entdeckten eine PDF-Datei in einer Phishing-E-Mail aus einer Device-Code-Phishing-Kampagne, in der ein Artefakt wiederverwendet wurde, das mit einer Tycoon-2FA-URL in Zusammenhang steht.
Okta Threat Intelligence hat direkt starke Ähnlichkeiten zwischen früheren Tycoon-2FA-Kampagnen und aktuellen Device-Code-Phishing-Kampagnen beobachtet. Beide verwenden beispielsweise ähnliche Anti-Analyse-Techniken. Dazu gehören Evasionsstrategien in den Phishing-Ködern, die für Tycoon-Köder typisch sind. Die Device-Code-Phishing-Seiten setzen CAPTCHAs ein und nutzen mehrstufige Weiterleitungsketten über legitime Infrastruktur-Anbieter, bevor die eigentliche Phishing-Seite angezeigt wird. Neuere Device-Code-Phishing-Seiten verwenden zudem ähnliche Anti-Analyse-Techniken wie Tycoon, um Versuche einer Analyse abzuwehren.
Ein Screenshot eines aktuellen Phishing-Versuchs mit Gerätecode. In diesem Beispiel wird ein:e Benutzer:in fälschlicherweise über eine ausstehende Sprachnachricht informiert. Sobald das Sign-in abgeschlossen ist, hat der Angreifende Zugriff auf den Microsoft-365-Account der Person.
AitM: Nach wie vor weit verbreitet und wirkungsvoll
Diese Art der Neuausrichtung, die wir beobachtet haben, ist ein fester Bestandteil der Cyberkriminalität. Das bedeutet jedoch nicht, dass es nutzlos ist, dem Ökosystem der Cyberkriminalität Kosten aufzuerlegen. Wir müssen davon ausgehen, dass sich lukrative cyberkriminelle Aktivitäten an die jeweils verfügbaren Tools anpassen werden.
Es gibt weiterhin mehrere praktikable Phishing-as-a-Service-Alternativen zu Tycoon 2FA. Solange Organisationen es Nutzer:innen weiterhin erlauben, den Sign-in mit Faktoren mit geringer Sicherheit durchzuführen, die anfällig für Phishing sind (insbesondere Passwörter und OTPs), wird AitM-Phishing ein effektives Tool für Angreifende sein.
Die gängigste Abwehrmaßnahme gegen den Diebstahl von Sitzungs-Token durch Phishing besteht darin, Benutzer:innen für Phishing-resistente Authentifikatoren wie Okta FastPass oder Passkeys zu registrieren und die Verwendung dieser Faktoren in Authentifizierungsrichtlinien vorzuschreiben. AitM-Phishing-Kits können keinen dieser Faktoren aushebeln, und Okta FastPass bietet den zusätzlichen Vorteil, Okta-Administrator:innen serverseitige Erkennungen bereitzustellen, wenn Nutzer:innen zum Ziel von Angriffen werden.
Organisationen, die Phishing-Resistenz nicht durchsetzen oder dazu nicht in der Lage sind, können auch Dienste nutzen, die die versuchte Wiederverwendung eines Tokens erkennen. Diese Dienste sind für jede Form des Diebstahls von Sitzungs-Token (einschließlich Malware) ebenso relevant wie für Phishing.
