Coinbase, Microsoft и Europol отключили инфраструктуру фишингового сервиса Tycoon 2FA
Коалиция технологических компаний и правоохранительных органов, в которую вошла Coinbase, вывела из строя ключевую инфраструктуру Tycoon 2FA — крупной платформы «фишинг как услуга», предлагавшей инструменты для обхода многофакторной аутентификации.
Europol сообщил в среду, что Microsoft помогла заблокировать 330 доменов, связанных с этой платформой, а правоохранители изъяли другие важные элементы инфраструктуры.
Важной частью операции стало финансовое расследование. В Coinbase заявили, что помогли отследить связанные с блокчейном транзакции, которыми финансировался Tycoon 2FA. Это, по их словам, позволило установить предполагаемого администратора сервиса и его покупателей.
В Coinbase отметили, что отключение основной инфраструктуры Tycoon перекрывает значимый канал кражи учетных данных и первичного доступа и вынуждает злоумышленников заново выстраивать свои инструменты и повышать риски.
По данным блокчейн-компании Certik, фишинг в 2025 году назвали второй по масштабу угрозой: потери криптоинвесторов составили $722 млн в 248 инцидентах. Представитель PeckShield также подчеркнул, что в 2026 году фишинг остается «устойчивой угрозой».
Инструменты Tycoon позволяли обходить многофакторную аутентификацию
Набор инструментов Tycoon включал поддельные страницы входа, предназначенные для кражи учетных данных на сайтах, которые выглядели как легитимные. Кроме того, по данным Coinbase, сервис перехватывал cookie-файлы сессии и токены, что позволяло атакующим обходить MFA.
Обычно при входе с MFA система создает токен сессии. Он подтверждает успешную аутентификацию и хранится в браузере пользователя. Если злоумышленник похитит такой токен, он сможет использовать его, чтобы обойти MFA.
В Coinbase добавили, что сочетание «правдоподобных приманок» и кражи сессионных токенов превращает фишинг в надежную отправную точку для более крупных преступлений — от захвата аккаунтов до компрометации корпоративной почты, подмены счетов и дальнейшей социальной инженерии.
Одна из крупнейших мошеннических платформ в мире
Как сообщил Стивен Масада, помощник главного юрисконсульта подразделения Microsoft Digital Crimes Unit, Tycoon активен как минимум с 2023 года. К середине 2025 года на Tycoon приходилось 62% фишинговых попыток, которые блокировала Microsoft, включая более 30 млн писем за один месяц.
По его словам, это вывело Tycoon 2FA в число крупнейших фишинговых операций в мире: сервис снижал технический порог входа и позволял злоумышленникам с небольшим опытом проводить сложные кампании по подмене личности.
Масада также отметил, что жертвами Tycoon 2FA становились организации в разных сферах — от здравоохранения до образования. Это приводило к перенаправлению платежей по счетам, краже чувствительных данных, блокировке сетей и сбоям, влияющим на оказание медицинской помощи.
Он подчеркнул, что вывод инфраструктуры из строя перекрывает значимый канал для захвата аккаунтов и помогает защитить людей и организации от последующих атак — краж данных, вымогательского ПО, компрометации деловой переписки и финансового мошенничества.