Phishing-plattformen Tycoon 2FA slått ned i koordinert aksjon

Microsoft har sammen med Europol og flere industripartnere slått ned phishing-plattformen Tycoon 2FA og beslaglagt eller sperret mer enn 300 domener i infrastrukturen. Tycoon 2FA ble solgt som en tjeneste og leverte ferdige phishing-sett som etterlignet innloggingssider for blant annet Microsoft 365 og Gmail. Plattformen brukte adversary-in-the-middle-teknikk og fanget opp både passord og autentiseringstokener i sanntid, slik at tofaktorbeskyttelse i praksis ble omgått. Operasjonen har vært aktiv siden minst 2023 og har rammet virksomheter over hele verden.

Hva det betyr for virksomheten

Poenget her er ikke at én plattform er borte, men at forsvaret mange norske virksomheter lener seg på ikke holder. Tofaktor med engangskode eller push-varsel stanser ikke en angriper som stjeler selve sesjonen. Blir en konto med tilgang til e-post, fildeling og økonomisystemer overtatt på denne måten, ser innloggingen legitim ut i loggene, og kompromitteringen kan pågå lenge før noen reagerer. Det er en reell risiko for fakturasvindel, datatyveri og videre spredning til kunder og leverandører.

Berigo anbefaler

• Gå over til phishing-resistent autentisering med FIDO2-nøkler eller passkeys for administratorer, ledergruppe og alle med tilgang til betalinger.
• Slå på betinget tilgang som binder sesjonen til kjent enhet og lokasjon, slik at et stjålet token ikke kan brukes fra en tilfeldig maskin.
• Sett opp overvåking og varsling på uvanlige innlogginger, nye videresendingsregler i e-post og OAuth-samtykker gitt til ukjente applikasjoner.
• Øv på kontoovertakelse som scenario i beredskapsplanen, inkludert hvordan dere invaliderer aktive sesjoner raskt.

Kilde

• blogs.microsoft.com
• europol.europa.eu