Microsoft ו-Europol השביתו את Tycoon 2FA, שירות פישינג שעוקף אימות דו-שלבי
ב-4 במרץ 2026 הודיעה Microsoft, בשיתוף Europol, שתפסה 330 דומיינים של Tycoon 2FA. לפי החברה, השירות היה אחראי לכ-62% מניסיונות הפישינג שחסמה עד אמצע 2025.
TL;DR בקצרה
- Microsoft תפסה ב-4 במרץ 2026 עם צו בית משפט 330 דומיינים של Tycoon 2FA, בתיאום Europol.
- השירות כלל פישינג מוכן שלכד סיסמאות, קודי אימות ואסימוני session בזמן אמת.
- לפי Microsoft, Tycoon 2FA היה קשור לכ-96,000 קורבנות מאז 2023, ובהם מעל 55,000 לקוחות Microsoft.
- ב-3 במאי 2026 דיווחה Okta שפעילות השירות ירדה אך לא נעלמה.
Microsoft הודיעה ב-4 במרץ 2026 שהשביתה את Tycoon 2FA, שירות פישינג שעוקף אימות דו-שלבי. הפעולה נעשתה בשיתוף Europol. לפי הבלוג של Microsoft, הפעולה תפסה 330 דומיינים פעילים. הם היו התשתית המרכזית של השירות, כולל לוחות הבקרה ודפי ההתחברות המזויפים.
מה זה Tycoon 2FA ואיך הוא עקף אימות דו-שלבי
Tycoon 2FA הוא Phishing-as-a-Service, כלומר שירות מנוי שמוכר לפושעים ערכת פישינג מוכנה. הוא פעל מ-2023 לפחות. לפי Microsoft, הוא לכד סיסמאות, קודי אימות ואסימוני session בזמן אמת.
לפי Cloudflare, הוא פעל כשרת ביניים בין הקורבן לשירות האמיתי, כמו Microsoft 365 או Gmail. הוא העביר את בקשות ההתחברות ואת אתגרי האימות, ובסוף תפס את האסימון. אסימון session הוא האישור שהאתר נותן למשתמש אחרי שהתחבר בהצלחה. מי שמחזיק בו נכנס בלי סיסמה ובלי קוד.
לפי CyberScoop, מפעילי השירות מכרו אותו בטלגרם ובסיגנל ב-350 דולר לחודש. Cloudflare מדברת על מחיר התחלתי של כ-120 דולר. לפי Cloudflare, תוקפים השתמשו בחשבונות שנחטפו גם להונאות דוא״ל עסקי, כמו שליחת חשבוניות מזויפות.
הנתונים של Microsoft על ההיקף
לפי Microsoft, Tycoon 2FA היה אחראי לכ-62% מניסיונות הפישינג שהיא חסמה עד אמצע 2025. בחודש אחד הוא שלח מעל 30 מיליון הודעות. כ-96,000 קורבנות קשורים אליו מאז 2023, ומהם מעל 55,000 לקוחות Microsoft.
הוא הגיע לכ-500,000 ארגונים, עם עשרות מיליוני הודעות בחודש. מעל 100 חברים ב-Health-ISAC, ארגון שיתוף מידע בתחום הבריאות, הותקפו בהצלחה. בניו יורק היו מעורבים לפחות שני בתי חולים, שישה בתי ספר עירוניים ושלוש אוניברסיטאות. הם ספגו ניסיונות פישינג או פריצה שהצליחה. כל הנתונים הם של Microsoft.
מי השתתף בפעולה נגד Tycoon 2FA
Microsoft פעלה לפי צו של בית המשפט הפדרלי בדרום ניו יורק. Europol תיאמה את הפעולה דרך תוכנית ה-CIEP שלה. רשויות מלטביה, ליטא, פורטוגל, פולין, ספרד ובריטניה השתתפו.
גם חברות פרטיות סייעו. Cloudflare הסירה תשתית מחוץ לסמכות של בית המשפט האמריקאי. Shadowserver עדכנה מעל 200 צוותי CERT. Coinbase עקבה אחרי כסף גנוב, ו-Health-ISAC הצטרפה לתביעה. עוד שותפות היו Proofpoint, Intel 471, eSentire, SpyCloud ו-Resecurity.
Proofpoint מעריכה, לפי CyberScoop, שפישינג מסוג זה ירד משמעותית. מפעילי השירות עשויים לבנות תשתית חדשה. לדברי Proofpoint, הפגיעה במוניטין של המותג עלולה להרחיק לקוחות.
מה קרה מאז: ב-3 במאי 2026 דיווחה Okta שפעילות Tycoon 2FA ירדה אך לא נעלמה. היא זיהתה במערכות שלה 1,470 ניסיונות פישינג של השירות עד סוף מרץ, לעומת 885 בחודש שלפני הפעולה, ו-631 באפריל. תשתית חדשה הופיעה תוך יום או יומיים מהפעולה. כמה ממפעילי השירות עברו, לפי Okta, גם לשיטות הנדסה חברתית אחרות.
מה זה אומר עבורכם
- עברו לאימות עמיד לפישינג: Cloudflare ממליצה על passkeys או מפתחות FIDO2. לפי Cloudflare, הם נכשלים אם כתובת האתר מזויפת, אפילו קצת.
- אל תסתפקו בקוד SMS או באפליקציה: Tycoon 2FA העביר את אתגרי האימות בזמן אמת. קוד כזה לא עצר אותו.
- הגבילו סשנים: Cloudflare מציעה לקצר את משך הסשן, לדרוש מכשירי ארגון ולהפעיל Continuous Access Evaluation.
- חסמו מההתחלה: הפעילו DMARC במצב Reject וסינון DNS לדומיינים חדשים, כך מציעה Cloudflare.
- עובד הזין פרטים בדף חשוד? החליפו סיסמה וסגרו את כל הסשנים הפעילים של החשבון. התוקף מחזיק באסימון, לא רק בסיסמה.
- עוד לא הפעלתם אימות דו-שלבי? המדריך של SecureBack לכל הפלטפורמות.
מקורות והרחבה
- Defending the gates: How a global coalition disrupted Tycoon 2FAMicrosoft On the Issues
- Microsoft, Europol and partners dismantle the Tycoon 2FA phishing kitCyberScoop
- Cloudflare participates in global operation to disrupt Tycoon 2FACloudflare
- Tycoon 2FA phishing actors disperse, branch into new attacksOkta
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
