Auf den Punkt: Die Beschlagnahmung von über 300 Domains und der Backend-Infrastruktur von Tycoon 2FA durch Europol unterbricht die Angriffswelle nur kurzfristig, da austauschbare Infrastruktur-Komponenten das PhaaS-Geschäftsmodell weiterhin tragfähig halten.
Europol hat Anfang 2026 mehr als 300 Domains und die Backend-Infrastruktur der Phishing-as-a-Service-Plattform Tycoon 2FA beschlagnahmt. Analysen von Barracuda Research zeigen jedoch, dass solche Takedowns die dahinterstehende kriminelle Infrastruktur kaum nachhaltig schwächen.
Tycoon 2FA zählte zu den bekanntesten und effektivsten Phishing-as-a-Service-Angeboten (PhaaS) im Untergrund und war monatlich für mehr als neun Millionen Angriffe verantwortlich. Die Plattform ermöglichte es auch technisch weniger versierten Akteuren, Phishing-Kampagnen durchzuführen, die gezielt Multi-Faktor-Authentifizierung (MFA) umgehen, etwa durch das Abfangen von Session-Tokens oder Einmalcodes. Anfang 2026 beschlagnahmte Europol im Rahmen einer koordinierten Aktion mehr als 300 Domains sowie die Backend-Infrastruktur, die für den Betrieb der Plattform genutzt wurde.
Für Sicherheitsverantwortliche ist die eigentliche Erkenntnis nicht der Takedown selbst, sondern dessen begrenzte Wirkung. Threat Insights von Barracuda Research legen dar, dass PhaaS-Ökosysteme wie Tycoon 2FA so aufgebaut sind, dass einzelne Infrastruktur-Komponenten austauschbar sind. Domains, Hosting und Backend-Systeme lassen sich vergleichsweise schnell durch neue Ressourcen ersetzen, während Kernfunktionen, Kundenbeziehungen und der Vertrieb über Untergrundforen weitgehend unberührt bleiben. Das bedeutet, dass die Angriffswelle nach einer Beschlagnahmung häufig nur kurzfristig unterbrochen wird, bevor Nachfolgeaktivitäten unter neuer Infrastruktur wieder anlaufen.
Für CISOs folgt daraus, dass Takedown-Meldungen allein kein Anlass sind, die Bedrohungslage durch MFA-umgehende Phishing-Kits als entschärft zu betrachten. Sicherheitsteams sollten weiterhin auf Erkennungsmechanismen setzen, die nicht ausschließlich auf bekannten Domains oder IOC-Listen basieren, sondern Verhaltensmuster wie ungewöhnliche Session-Übernahmen oder Anomalien bei Authentifizierungsabläufen berücksichtigen. Ergänzend bleibt die Kombination aus phishing-resistenten Authentifizierungsverfahren, etwa FIDO2/WebAuthn, und kontinuierlichem Monitoring der wirksamste Schutz gegen PhaaS-Angriffe, die konzeptionell auf die Umgehung klassischer MFA-Verfahren ausgelegt sind.
Quelle: www.security-insider.de · Erschienen 4. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.