Phishing-Kit für Amateure hebelt Mehrfaktor-Authentifizierung aus

Ein neues Phishing-Werkzeug sorgt für Alarmstimmung in der Security-Branche: Das Kit "Tycoon 2FA" ermöglicht selbst technisch unerfahrenen Angreifern, die gängigen Verfahren zur Mehr-Wege-Authentifizierung (MFA) zu umgehen - und das in großem Stil.

Einfach kriminell werden

Sicherheitsforscher registrierten bereits mehr als 64.000 Angriffe allein in diesem Jahr. Besonders häufig im Visier stehen Microsoft-365- und Gmail-Konten, weil sie für viele Firmen kritische Einstiegspunkte ins Netzwerk darstellen. Der Baukasten funktioniert dabei nach dem Prinzip "Phishing as a Service", berichtet das Fachmagazin Bleeping Computer.

Das bedeutet, dass die Nutzer keinerlei Fachwissen benötigen, die Software übernimmt technische Schritte wie das Einrichten von Fake-Loginseiten oder das Aufsetzen von Reverse-Proxy-Servern. Ein Angreifer muss lediglich einen Link in Umlauf bringen, den Rest erledigt das Toolkit automatisiert.


Klickt ein Opfer auf die manipulierte Seite, beginnt der eigentliche Angriff. Tycoon 2FA leitet sämtliche Eingaben in Echtzeit an Microsoft oder Google weiter, inklusive Nutzernamen, Passwörtern und Sitzungscookies. Für Betroffene wirkt der Vorgang vollkommen legitim: Die Phishing-Seite zeigt dieselben Aufforderungen und Dialoge wie das echte System und bezieht viele Inhalte direkt von den Originalservern.

Besorgniserregend ist auch der hohe Aufwand, mit dem das Kit seine Spuren verwischt. Verschleierungstechniken wie Obfuskation, Komprimierung, automatisierte Bot-Filter oder Debugger-Erkennung erschweren die Analyse. Erst wenn ein echter Mensch interagiert, entfaltet das Tool seine vollständigen Funktionen. Gelingt der Angriff, wandern Kriminelle häufig nahtlos in weitere Unternehmensbereiche wie SharePoint, OneDrive oder interne Finanzsysteme.

Hardware-Token als Ausweg

Sicherheitsfachleute warnen, dass klassische MFA-Verfahren wie SMS-Codes, Push-Bestätigungen oder App-Token strukturelle Schwächen aufweisen. Sie setzen darauf, dass Nutzer verdächtige Vorgänge erkennen. Tycoon 2FA macht sich genau diese menschliche Komponente zunutze. Selbst moderne Passkey-Modelle geraten unter Druck, wenn Cloud-Synchronisation oder leicht ausnutzbare Wiederherstellungswege existieren.

Als Ausweg empfehlen Experten zunehmend hardwarebasierte, phishingresistente Verfahren auf Basis von FIDO2-Standards und biometrischer Verifikation. Diese Systeme arbeiten domänengebunden und nehmen den Menschen weitgehend aus der sicherheitskritischen Entscheidungskette.


Siehe auch: