2025年半ばの一時期、Tycoon 2FAはIdentity Threat Protection（ITP）による検知件数において、他のどのフィッシングキットよりも大きな割合を占めていました。
Tycoon 2FAは、AitM（Attacker-in-the-Middle：中間者）攻撃の実行に必要なインフラを自前で構築・維持することなく、Microsoft 365やGoogle Workspaceのテナントに対するMFAバイパスを安価かつ安定して実行できる環境を攻撃者に提供していました。
しかし、2026年3月に状況は一変します。世界的な法執行機関による一斉摘発により、Tycoon 2FAのオペレーションに関連する、分散型コントロールパネルや同キットで構築されたフィッシングページなど330のドメインが無力化されました。
Okta Threat Intelligenceの調査により、この法執行作戦がTycoonのオペレーションに大きな打撃を与えた一方で、一部の運用者は依然として同サービスを利用し続けていることが判明しました。さらに、一部の運用者はデバイスコード認可フローの悪用をはじめとする、新たな形態のソーシャルエンジニアリングへと手口を多角化させている模様です。
タイクーンが生まれるまで
オリジナルのTycoonフィッシングキットは2023年に登場しましたが、セッショントークンを傍受する機能は含まれていませんでした。
しかし、多要素認証（MFA）などのセキュリティコントロールによって従来のフィッシング手法が通用しにくくなると、同キットはリアルタイムでセッショントークンを捕獲するAitMフィッシングキット「Typhoon 2FA」へと進化しました。このサービスは急速に人気を集め、主にMicrosoft 365やGoogleのアカウントを標的として広まりました。
高度な技術的スキルを持たない攻撃者であっても、非公開のTelegramチャンネル経由で月額数百ドルを支払ってTycoon 2FAのサブスクリプションを購入すれば、アカウント乗っ取りを実行するためのエンドツーエンドのサービスを利用できました。こうして攻撃者たちは何千万通ものフィッシングメールを送信し、何も知らないユーザーをTycoon 2FAへと誘導していったのです。
標的となったユーザーは、よく知られたサービスプロバイダーになりすました見慣れたログインページに誘導され、ログインさせられました。通常、フィッシングページには標的ユーザーのメールアドレスがあらかじめ入力されていました。
透過型リバースプロキシを使用することで、Tycoon 2FAはユーザーの資格情報を正規のサービスに転送し、ユーザーによってクリアされたほとんどの種類のMFAチャレンジを中継しました。なりすまされたサービスが認証成功後にユーザーのブラウザへセッショントークンを返すと、Tycoon 2FAのプロキシがそれを奪取しました。
そこから攻撃者は、そのセッショントークンをリプレイ（再利用）してアカウントへのアクセス権を取得することが可能になります。セッショントークンのリプレイは、ログインとMFAチャレンジの両方をバイパスします。現在、セッショントークンのリプレイは最も一般的なアイデンティティベースの攻撃の1つとなっています。
2025年半ばまでに、Tycoon 2FAはこうしたAitM機能を備えたフィッシングキットの中で最も多く観測されるものとなりました。2025年7月、Okta Identity Threat Protectionは、Oktaにアイデンティティ連携しているMicrosoft顧客を狙ったフィッシングの試みを11,199件検知しました。この数値は、直前の3か月間の合計の2倍以上に相当します。
2025年8月までに検知数は5,982件に減少し、その後も減少傾向が続きました。2026年3月4日の摘発直前の1か月間では、Tycoon 2FAによるフィッシングの試みはわずか885件にすぎませんでした。
皮肉なことに、テイクダウン活動後の数週間で、検知数が増加していることが確認されました。
Oktaは2026年3月末までに、1,470件のTycoon 2FAフィッシングの試みを検知しています。
Oktaのデータを活用して観測された検知数は減少傾向が続いていますが、完全に消失したわけではなく、2026年4月には631件を記録しています。
適応
摘発を受けて、Tycoon 2FAの運用者がどのように適応しようとしているかを示す最初の明確な兆候は、より多様化された新しいインフラストラクチャの検知でした。
法執行機関による措置が講じられる以前は、Tycoon 2FAの検知の大半が、Global Connectivity Solutions、M247 Europe SRL、Hivelocityというわずか3つの事業者のネットワークから発信されていました。
摘発から1～2日以内に、新しいインフラストラクチャが出現し始めました。既存のネットワーク事業者のうち、Tycoon 2FAのインフラストラクチャをホスティングし続けていたのはM247 Europe SRLのみでした。小規模プロバイダー数社を含む、4つの新しい事業者がTycoon 2FA関連のアクティビティをホスティングしている様子が観測されました。
さらに興味深い変化は、攻撃者が「デバイスコードフィッシング」という、より隠蔽性の高い攻撃手法に関心を示している点です。
この手法では、攻撃者はOAuth 2.0デバイス認可グラントを悪用します。「OAuth 2.0 デバイス認可グラント」を悪用します。これは入力制限のあるデバイス向けに設計された認証方式であり、コマンドラインアプリケーションの認可にも頻繁に使用されています。テレビ画面から動画ストリーミングサービスにログインするのが不便な場合、ユーザーにはコードが提示され、サインインに適した別のデバイスからログインするよう誘導されます。認証が完了すると、アクセスを要求していたクライアントに対してOAuthトークンが発行されます。攻撃者は、この抽象化されたフローに大きな隙を見出しています。ユーザーが自身のデバイス上にあるとは限らないアプリケーションに対してアクセスを認可してしまうためです。案の定、デバイスコードフィッシングはサイバー犯罪のサービスとして製品化されるに至りました。EvilTokensは、そうしたホスト型デバイスコードフィッシングキットの1つであり、主にMicrosoft環境などを標的としています。
Proofpointの脅威リサーチャーは最近、Tycoon 2FAの利用者までもがこの攻撃手法へとツールを乗り換えていることを示唆する興味深い手がかりを発見しました。デバイスコードフィッシングキャンペーンで使用されたフィッシングメール内のPDFから、Tycoon 2FAのURLに関連するアーティファクトが再利用されているのが見つかったのです。
Okta Threat Intelligenceも、過去のTycoon 2FAキャンペーンと最近のデバイスコードフィッシングキャンペーンの間に強い類似性があることを直接観測しています。例えば、両者とも同様の解析回避手法（トレードクラフト）を悪用しています。これには、Tycoonのルアー（おとり）でよく見られたフィッシング用ルアーの回避戦略などが含まれます。デバイスコードフィッシングページではCAPTCHAが採用されているほか、実際のフィッシングページを表示する前に、正規のインフラプロバイダーを経由したマルチホップのリダイレクトチェーンが組まれています。最近のデバイスコードフィッシングページも、解析をかわすためにTycoonと同様の解析回避技術を採用しています。
AitM：依然として猛威を振るう強力な脅威
私たちが観測したこのような手口の切り替えは、サイバー犯罪においては日常茶飯事です。だからといって、サイバー犯罪のエコシステムにコストを課すことが無意味というわけではありません。利益を生むサイバー犯罪活動は、利用可能なツールに適応していくものであると想定しておく必要があります。
Tycoon 2FAの代わりとなり得るPhishing-as-a-Service（PaaS）は、依然として数多く存在します。組織がユーザーに対し、フィッシングに脆弱な保証レベルの低い要素（特にパスワードやOTP）を使用したサインインを許可し続ける限り、AitMフィッシングは攻撃者にとって引き続き効果的なツールであり続けます。
フィッシングによるセッショントークンの窃取に対する最も有効な防御策は、ユーザーにOkta FastPassやパスキーといったフィッシング耐性のある認証要素を登録させ、認証ポリシーでそれらの使用を強制することです。AitMフィッシングキットはこれらの認証要素のいずれも突破できません。さらにOkta FastPassには、ユーザーが標的となった際にサーバー側の検知情報をOkta管理者に提供できるというメリットもあります。フィッシング耐性を強制できない、あるいは未導入の組織であっても、トークンの再利用の試みを検知するサービスを活用できます。こうしたサービスは、フィッシングだけでなく、マルウェア等を含むあらゆる形態のセッショントークン奪取に対しても同様に有効です。
