Tycoon 2FA war seit mindestens 2023 aktiv und galt als das dominanteste Phishing-as-a-Service-Netzwerk der Welt. Die Plattform ermöglichte es Cyberkriminellen, massenweise Phishing-Angriffe durchzuführen, Zwei-Faktor-Authentifizierung zu umgehen und Benutzerkonten zu kompromittieren. Nach Angaben von Barracuda Networks war die Plattform für mindestens die Hälfte aller Angriffe gegen eine Million Organisationen weltweit verantwortlich. Im vergangenen Jahr machte Tycoon 2FA 62 Prozent aller von Microsoft erkannten Phishing-Versuche aus und kontrolierte mit einem Marktanteil von 89 Prozent das Phishing-Ökosystem quasi monopolistisch.
Die im März durchgeführte Takedown-Operation war beeindruckend in ihrer Koordination, führte aber nicht zum erwarteten Erfolg. Obwohl 330 aktive Domains beschlagnahmt wurden, setzte Tycoon 2FA seine Operationen nahezu ungestört fort. Doch ein detaillerterer Blick offenbart eine weniger offensichtliche Entwicklung: Die Plattform hat ihre Marktführerschaft verloren.
Barracuda Networks dokumentiert in einem aktuellen Report, wie Cyberkriminelle ihre Aktivitäten auf Konkurrenzplattformen verlagert haben. Mamba 2FA und EvilProxy haben Tycoon 2FA überholt und nutzen teilweise dessen erbeutete oder geklonte Angriffscode. Besonders problematisch: Tycoon 2FA war weit verbreitet unter unabhängigen Affiliate-Netzwerken. Das bedeutet, dass Varianten des Angriffscodes von einzelnen Bedrohungsakteuren geklont, modifiziert und weitergegeben werden — eine dezentralisierte Verteilung, die schwer zu kontrollieren ist.
Das eigentliche Problem liegt in der Reifung des Underground-Marktes. Phishing-Kits funktionieren inzwischen wie Open-Source-Software: Code wird wiederverwendet, modifiziert und neu eingesetzt. Diese Dezentralisierung, kombiniert mit redundanten Infrastrukturen und persistentem Zugriff auf kompromittierte Umgebungen, macht die kriminelle Ökosystem robuster und schwerer zu bekämpfen als je zuvor.
Barracuda warnt deshalb vor falschen Schlussfolgerungen. Die Takedown-Operation war nicht erfolglos — sie zeigt jedoch, was mit einer ausgereiften Underground-Economy geschieht, wenn einzelne Akteure getroffen werden. Für Sicherheitsverantwortliche bedeutet dies: Der Fokus auf einzelne Plattformen ist unzureichend. Effektive Defensivmaßnahmen müssen das gesamte Ökosystem im Blick behalten.