Phishing como servicio: el auge de Tycoon 2FA y su caída en una operación global

El mercado del crimen digital se parece cada vez más al de una startup: hay productos con suscripción, paneles de control en la nube, soporte y actualizaciones. Uno de los ejemplos más preocupantes de esta profesionalización criminal fue Tycoon 2FA, un kit de phishing ofrecido como servicio que durante alrededor de dos años facilitó ataques masivos del tipo adversary‑in‑the‑middle (AiTM), capaces de capturar tanto credenciales como códigos de autenticación multifactor y las cookies de sesión que permiten a un atacante mantener el acceso.

Las autoridades y varias empresas de ciberseguridad han anunciado una operación coordinada para desmantelar la infraestructura de este servicio. Según Europol, la acción se ha saldado con la eliminación de alrededor de 330 dominios que sustentaban las páginas de phishing y los paneles de control del servicio, lo que supone un golpe importante a la capacidad operativa de la red. Puede leerse la nota oficial en el comunicado de Europol.

Tycoon 2FA no nació como un kit cualquiera. Era un producto comercial basado en suscripciones, con planes desde unos pocos cientos de dólares para acceso temporal hasta paneles de administración mensuales donde los operadores podían diseñar y gestionar campañas completas. El panel ofrecía plantillas, archivos de cebo, lógica de redirección y métricas de víctimas; además permitía descargar lo capturado o reenviarlo en tiempo real a servicios de mensajería como Telegram. Esa oferta convierte la creación de ataques sofisticados en algo accesible incluso para actores con poca habilidad técnica.

Las cifras que manejan los investigadores ilustran la magnitud del problema. Empresas de seguridad como Proofpoint y Trend Micro han documentado volúmenes enormes de correos y campañas atribuidas al kit: millones de mensajes en un solo mes y decenas de miles de dominios activos. Microsoft, que rastreaba a los operadores bajo el alias Storm‑1747, indicó que bloqueó más de 13 millones de correos maliciosos relacionados con este servicio. La cifra de incidentes vinculados y organizaciones afectadas subraya que no se trató de ataques aislados, sino de una operación a escala industrial.

¿Qué hacía tan eficaz a Tycoon 2FA? Técnicamente se apoyaba en el método AiTM: un intermediario entre la víctima y el servicio legítimo que interceptaba información en el momento de autenticarse. De este modo, además de la contraseña se capturaban códigos MFA y cookies de sesión, lo que permitía al atacante tomar el control de cuentas incluso cuando la víctima cambiaba su contraseña —a no ser que se revocaran explícitamente las sesiones y los tokens—. Microsoft explica con más detalle el funcionamiento de esta técnica en su análisis: Inside Tycoon2FA.

Pero no era solo la técnica AiTM: el kit incorporaba múltiples mecanismos de evasión para dificultar la detección y la takedown. Desde monitorización de pulsaciones, filtros anti‑bots y huellas del navegador hasta CAPTCHAs auto‑hospedados, código JavaScript ofuscado y páginas señuelo dinámicas. Sumado a esto, los operadores registraban dominios de vida extremadamente corta y empleaban una mezcla amplia de extensiones de dominio para alojar la infraestructura, aprovechando servicios como Cloudflare para proteger esas direcciones. Esa estrategia de rotación rápida hacía que las listas de bloqueo queden desactualizadas en pocas horas.

Otro rasgo inquietante fue la facilidad con la que los atacantes escalaron su impacto: Tycoon 2FA permitía la técnica conocida como ATO Jumping, que consiste en usar una cuenta ya comprometida para enviar enlaces de phishing a la libreta de direcciones legítima de la víctima. El resultado es que el correo parece venir de un contacto de confianza y la posibilidad de engañar a un receptor crece de forma significativa. Proofpoint desgrana cómo esta táctica multiplica el alcance de las campañas en su material sobre la operación: Disruption targets Tycoon 2FA.

El fenómeno de los kits de phishing empaquetados no es nuevo, pero Tycoon 2FA demostró hasta qué punto esa oferta puede profesionalizarse y convertirse en una plataforma lucrativa para el fraude. Artículos que analizan el mercado de phishing kits explican que estos paquetes están diseñados para ser flexibles y accesibles, con funcionalidades que van desde lo básico hasta herramientas avanzadas que antes solo estaban al alcance de grupos sofisticados. Un buen contexto técnico y de mercado está disponible en análisis como el de Kaspersky Securelist y en reportes especializados de empresas de inteligencia como Intel 471.

Las consecuencias para organizaciones y usuarios son directas y potencialmente devastadoras: accesos de correo corporativo que derivan en filtraciones, despliegue de ransomware o compromisos de servicios críticos en educación, sanidad o administraciones públicas. Investigadores de Proofpoint compartieron datos alarmantes sobre la prevalencia de intentos de toma de cuentas y el hecho de que muchos incidentes afectaron cuentas con MFA activado, lo que evidencia que no basta con marcar la casilla de doble factor si el vector de ataque está diseñado para interceptarlo.

La operación de eliminación de dominios y paneles es una victoria importante, pero no significa que el problema haya desaparecido. Estas plataformas suelen reaparecer bajo otras marcas, con mejoras y tácticas adaptadas a los bloqueos anteriores. Por eso las medidas de protección deben ser tanto técnicas como organizativas: además de controles de correo y detección avanzada, es crucial revisar la forma en que se gestionan las sesiones y los tokens, aplicar la revocación de accesos cuando hay sospecha de compromiso y favorecer factores de autenticación resistentes a AiTM, como las llaves físicas basadas en estándares FIDO cuando sea posible.

Para usuarios y responsables de seguridad la lección es doble: la conciencia sobre los ataques, especialmente cuando parecen proceder de contactos conocidos, sigue siendo una defensa esencial, y la arquitectura de identidad debe contemplar escenarios realistas de interceptación. Recursos y análisis adicionales sobre la desarticulación del servicio y las amenazas AiTM están disponibles en los informes técnicos citados por organizaciones como Trustwave, Trend Micro y Proofpoint.

En definitiva, el golpe a Tycoon 2FA demuestra que la cooperación entre sector público y privado puede frenar plataformas criminales de gran alcance, pero también recuerda que el adversario evoluciona con rapidez. Mantenerse informado, revisar políticas de sesiones y autenticación, y aplicar soluciones de protección avanzadas son pasos imprescindibles para no convertir una cuenta comprometida en la puerta de entrada a un desastre mayor.