Un potente kit de phishing conocido como Tycoon 2FA ha estado causando sensación en el mundo de la ciberseguridad desde que apareció por primera vez en agosto de 2023.

El kit opera como una plataforma de Phishing-as-a-Service (PhaaS), lo que significa que los ciberdelincuentes pueden alquilarlo y desplegarlo sin tener que construir nada desde cero.

Su objetivo principal es robar tokens de sesión autenticados de cuentas de Microsoft 365 y Google Workspace, situándose silenciosamente entre la víctima y la página de inicio de sesión real.

Lo que hace que Tycoon 2FA sea especialmente peligroso es que derrota por completo la autenticación de múltiples factores (MFA). En su punto máximo, el kit representó aproximadamente el 62% de los intentos de phishing bloqueados por Microsoft, afectando a más de 500.000 organizaciones cada mes.

El equipo de inteligencia de amenazas de Microsoft atribuyó la campaña a un actor de amenazas rastreado como Storm-1747, y el kit se encuentra actualmente en la cima del rastreador de tendencias de malware de ANY.RUN.

Analistas de Elastic Security Labs identificaron la mecánica detrás del kit y documentaron cómo opera tanto en entornos de Microsoft Entra ID como de Google Workspace.

Elastic señaló en un informe que el kit utiliza dos variantes estructurales, la retransmisión de sesión basada en WebSocket y el abuso de la concesión de códigos de dispositivo, para llevar a cabo ataques contra diferentes plataformas de identidad en la nube. Sus hallazgos arrojan luz sobre lo arraigada que está esta amenaza en el panorama moderno del phishing.

Incluso una operación coordinada de desmantelamiento en marzo de 2026 liderada por Microsoft y Europol, que incautó más de 300 dominios, no pudo detener la campaña por mucho tiempo.

Los operadores se recuperaron en pocas semanas, adaptando su infraestructura y mezclando sus métodos con flujos de phishing de códigos de dispositivo OAuth, tal como documentó eSentire a finales de abril de 2026. La resiliencia del kit refleja lo profesional y bien dotado de recursos que es realmente el grupo que está detrás.

La escala y la sofisticación de Tycoon 2FA lo convierten en una de las amenazas de phishing más trascendentales activas hoy en día.

Las organizaciones que confían únicamente en el MFA tradicional no están protegidas, ya que este kit evade esos controles mediante el robo de tokens de sesión. Comprender cómo funciona el kit es el primer paso para construir defensas que puedan resistir.

Cómo Tycoon 2FA evade el MFA

Tycoon 2FA no roba credenciales de la manera antigua. En su lugar, actúa como un proxy inverso, situándose entre la víctima y la página de inicio de sesión real de Microsoft o Google, y retransmitiendo todo en tiempo real.

La víctima completa su desafío de MFA normalmente, sin saber nunca que el kit interceptó el token de sesión en el momento en que fue emitido. El ataque comienza con un correo electrónico de phishing que contiene un enlace o código QR incrustado en un archivo PDF, SVG, HTML o PowerPoint.

El enlace pasa por una cadena de redireccionamiento multicapa antes de aterrizar en una réplica exacta de la página de inicio de sesión del objetivo, a menudo cargada con la imagen corporativa de la organización de la víctima extraída directamente del servicio real.

Una vez que la víctima termina el MFA, el kit captura la cookie de sesión y se la entrega al atacante, quien puede entonces acceder a la cuenta sin ninguna otra solicitud.

Evasión y persistencia post-compromiso

Tycoon 2FA está diseñado para sobrevivir a la respuesta ante incidentes. El kit puede registrar un dispositivo malicioso en Entra ID, obteniendo un token de actualización primario (PRT) que permanece válido incluso después de que un defensor revoque las sesiones del usuario comprometido.

Esto significa que el manual estándar de "revocar sesiones y restablecer contraseña" ya no es suficiente para contener completamente un compromiso de Tycoon 2FA.

Más allá de la persistencia, el kit toma medidas extremas para evitar el análisis. Filtra a los visitantes provenientes de rangos de IP de nube y hosting, bloquea herramientas de desarrollador, detecta marcos de automatización y elimina su propio código malicioso de la página después de la ejecución.

Cada víctima recibe un payload cifrado de forma única con valores por sesión, lo que hace que la detección basada en firmas sea casi imposible.

Para defenderte contra esta amenaza, Elastic recomienda desplegar MFA resistente al phishing, como claves de seguridad FIDO2 o passkeys, ya que estos son los únicos métodos inmunes al robo de sesiones AiTM.

Tú y tu organización también deberíais imponer el cumplimiento de dispositivos a través del Acceso Condicional, bloquear los flujos de código de dispositivo para todos los usuarios excepto en escenarios aprobados y habilitar la protección de tokens para vincularlos a dispositivos específicos.

Los defensores deben enumerar y eliminar cuidadosamente los dispositivos registrados antes de revocar las sesiones para romper completamente la cadena de persistencia del dispositivo-PRT.

Indicadores de Compromiso (IoCs):-

Los siguientes indicadores fueron documentados por Elastic Security Labs en su análisis de las campañas de Tycoon 2FA.

Nota: Las direcciones IP y los dominios están intencionalmente desactivados (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.