Uma das maiores plataformas de phishing-as-a-service utilizada para contornar a autenticação multifactor (MFA) e comprometer contas em larga escala foi desactivada na sequência de uma operação internacional coordenada com o apoio da Europol.
O serviço, conhecido como Tycoon 2FA, oferecia aos cibercriminosos uma ferramenta por subscrição capaz de interceptar sessões de autenticação em tempo real, permitindo acesso não autorizado a contas online, incluindo aquelas protegidas por camadas adicionais de segurança.
A acção envolveu uma colaboração próxima entre autoridades de aplicação da lei e parceiros do sector privado, coordenada pelo European Cybercrime Centre (EC3) da Europol.
Interrupção técnica e apreensão de infraestrutura
Durante a operação, foram desactivados 330 domínios que formavam a infraestrutura central do serviço criminoso, incluindo páginas de phishing e painéis de controlo. A interrupção técnica foi liderada pela Microsoft, com o apoio de uma coalizão de parceiros privados, enquanto a apreensão da infraestrutura e outras medidas operacionais foram conduzidas pelas forças de segurança da Letónia, Lituânia, Portugal, Polónia, Espanha e Reino Unido, todas coordenadas pela Europol.
Plataforma com alcance global
Em operação desde pelo menos Agosto de 2023, a Tycoon 2FA tornou-se uma das maiores operações de phishing a nível mundial, permitindo que milhares de cibercriminosos acedessem de forma oculta a contas de email e serviços cloud.
A plataforma gerava milhões de emails de phishing por mês e facilitava acesso não autorizado a quase 100 000 organizações globalmente, incluindo escolas, hospitais e instituições públicas. Em meados de 2025, a Tycoon 2FA representava cerca de 62% de todas as tentativas de phishing bloqueadas pela Microsoft.
Parceria público-privada no centro da operação
A operação foi possível graças à colaboração estreita entre a aplicação da lei e parceiros privados de confiança. A investigação teve início com informações partilhadas pela Trend Micro e, através do Cyber Intelligence Extension Programme (CIEP) da Europol, empresas como Microsoft e Trend Micro colaboraram directamente com as autoridades, fornecendo expertise técnica e análise de infraestrutura.
A Europol funcionou como hub central, garantindo que a inteligência fosse partilhada com os países afetados e transformada em ação operacional coordenada.
Parceiros envolvidos
Autoridades de aplicação da lei:
Letónia: State Police
Lituânia: Criminal Police Bureau
Portugal: Polícia Judiciária
Polónia: Central Cybercrime Bureau
Espanha: Polícia Nacional e Guardia Civil
Reino Unido: National Crime Agency
Parceiros privados através da Europol:
Cloudflare, Coinbase, Intel471, Microsoft, Proofpoint, Shadowserver Foundation, SpyCloud, Trend Micro
CIEP: reforço da cooperação público-privada
O Cyber Intelligence Extension Programme fortalece a colaboração público-privada, permitindo que especialistas do setor privado trabalhem lado a lado com analistas e investigadores da Europol. Este modelo facilita:
a interrupção transfronteiriça de infraestruturas criminosas;
a coordenação operacional entre países e parceiros;
o partilhamento rápido de inteligência sobre novas ameaças e métodos criminosos.
A operação demonstra que a cooperação global e entre setores é essencial para combater o cibercrime em grande escala e reforça a mensagem de que nenhuma infraestrutura criminosa online está fora do alcance da lei.
