Detecção de ataques AiTM do Tycoon 2FA no Entra ID e Google Workspace

O Tycoon 2FA é a plataforma de Phishing-as-a-Service (PhaaS) mais prolífica entre os kits de phishing AiTM, observada desde agosto de 2023 e atribuída ao grupo Storm-1747. Opera como proxy reverso entre a vítima e o provedor de identidade legítimo (Entra ID ou Google), capturando tokens de sessão autenticados após a vítima concluir a MFA normalmente. Apesar de uma ação coordenada de derrubada em março de 2026, operadores se adaptaram rapidamente, e o kit permanece como principal ameaça. O artigo do Elastic Security Labs fornece orientações para detecção desses ataques em ambientes Entra ID e Google Workspace.