Operacja była elementem szeroko zakrojonej współpracy organów ścigania z wielu krajów Europy oraz podmiotów prywatnych, które zaangażowały się w walkę z cyberprzestępczością. W jej trakcie funkcjonariusze CBZC otrzymali informacje wskazujące na powiązania kampanii phishingowej „Tycoon 2FA” z Polską. Ustalono, że część infrastruktury wykorzystywanej przez cyberprzestępców była oparta na domenach najwyższego poziomu przypisanych do naszego kraju.

„Tycoon 2FA” to zaawansowana platforma działająca w modelu PhaaS (Phishing as a Service), która co najmniej od sierpnia 2023 roku stanowi istotne narzędzie wykorzystywane przez cyberprzestępców na całym świecie. Jej działanie było ukierunkowane głównie na użytkowników poczty elektronicznej. Mechanizm ataku polegał na przechwytywaniu danych logowania oraz innych wrażliwych informacji podczas pozornie standardowego procesu logowania do konta.

Kluczową rolę w wykryciu i neutralizacji zagrożenia odegrali specjaliści z NASK oraz zespół reagowania na zdarzenia komputerowe CERT Polska. Przeprowadzone przez nich szczegółowe analizy pozwoliły na zidentyfikowanie infrastruktury wykorzystywanej w kampanii phishingowej oraz skuteczne zablokowanie 120 domen powiązanych z działalnością przestępczą.

Wspólne działania służb oraz ekspertów z sektora cyberbezpieczeństwa znacząco ograniczyły możliwości prowadzenia kolejnych kampanii phishingowych z wykorzystaniem tej infrastruktury. Blokada domen utrudni cyberprzestępcom dalsze działania nie tylko na terenie Polski, ale również w innych krajach Europy.