Dati Rapidi

• Tycoon2FA (noto anche come Storm-1747) ha lanciato circa 1 milione di attacchi di phishing contro utenti Office 365 nel 2025.
• Microsoft ha bloccato oltre 13 milioni di email malevole legate a Tycoon2FA solo nell’ottobre 2025.
• Schermate CAPTCHA fasulle e phishing tramite codici QR sono state tattiche chiave della campagna.
• Gli attacchi hanno coinvolto 182 paesi, spesso utilizzando reindirizzamenti locali per sembrare più affidabili.
• Il 40% dei domini Tycoon2FA ha utilizzato estensioni di dominio con codici paese insoliti per eludere i controlli.

Anatomia di un Impero del Phishing

Immagina un luna park digitale dove ogni stand è una trappola. Tycoon2FA, monitorato da Microsoft come Storm-1747, ha trasformato il phishing in un business globale, offrendo kit pronti all’uso ai cybercriminali di tutto il mondo. Nel 2025 è diventato il boss indiscusso, orchestrando quasi un milione di attacchi contro account Office 365 - trasformando le caselle di posta di tutto il mondo in un campo minato di inganni.

Ciò che rende l’approccio di Tycoon2FA particolarmente pericoloso è l’uso di “schermate CAPTCHA fasulle”. Immagina di cliccare su un link che ti chiede di dimostrare che non sei un robot. Solo che la pagina è una perfetta imitazione, e dietro la sua sfida amichevole si nasconde una trappola per rubare credenziali. Secondo Microsoft, oltre il 44% di tutti gli attacchi di phishing protetti da CAPTCHA nell’ottobre 2025 sono stati ricondotti all’infrastruttura di Tycoon2FA - una portata impressionante per una singola campagna.

Phishing-as-a-Service su Scala Globale

Tycoon2FA opera come una piattaforma di phishing-as-a-service (PhaaS) - un modello di business del dark web in cui i criminali affittano strumenti di phishing sofisticati, proprio come una società SaaS affitta applicazioni di produttività. Questo modello ha potenziato la portata e la persistenza degli attacchi. Nel solo mese di ottobre, i sistemi di sicurezza Microsoft hanno bloccato più di 13 milioni di email malevole legate a Tycoon2FA, e una campagna ha preso di mira organizzazioni in 182 paesi con quasi 928.000 messaggi di phishing.

Gli aggressori non si limitano a inviare email a raffica; personalizzano le loro trappole. Utilizzando reindirizzamenti Google specifici per paese, rendono le loro pagine di login fasulle più locali e familiari - aumentando le probabilità che le vittime abbocchino. È ingegneria sociale su scala globale, che fonde astuzia tecnica e intuizione psicologica.

La Svolta dei Codici QR e i Giochi di Dominio

Tycoon2FA ha anche trasformato i codici QR in armi - una minaccia in crescita nel mondo del phishing. Gli aggressori inseriscono codici QR malevoli in allegati PDF o Word standard, sapendo che le persone si fidano di questi formati. Scansionare il codice può condurre utenti ignari direttamente nelle mani dei ladri di credenziali, e poiché i filtri email tradizionali spesso trascurano i codici QR incorporati, questi attacchi passano inosservati.

Gli operatori della piattaforma dimostrano la stessa astuzia nella scelta degli indirizzi web. Circa il 40% dei domini di phishing di Tycoon2FA utilizza estensioni insolite come .sa[.]com o .me[.]uk, aiutandoli a sfuggire ai sistemi di rilevamento automatico e a mantenere aperti più a lungo i loro negozi criminali.

Lezioni dalla Prima Linea

Il phishing si è evoluto da truffe grossolane a operazioni altamente organizzate e su scala industriale. L’ascesa di Tycoon2FA richiama alla memoria le ondate di phishing del passato - come il boom di Emotet e BazarLoader nel 2021 - ma con una portata e una sofisticazione ancora maggiori. Man mano che sempre più organizzazioni si affidano a piattaforme cloud come Office 365, la posta in gioco si alza.

Gli esperti raccomandano una difesa a più livelli: abilitare l’autenticazione multifattore resistente al phishing, mantenere aggiornate le protezioni contro le minacce e formare gli utenti a riconoscere CAPTCHA fasulli e codici QR sospetti. Nel continuo gioco del gatto e del topo della cybersecurity, vigilanza e adattamento restano le migliori difese contro l’innovazione incessante del crimine sotterraneo.

WIKICROOK

• Phishing: Il phishing è un crimine informatico in cui gli aggressori inviano messaggi falsi per indurre gli utenti a rivelare dati sensibili o cliccare su link malevoli.
• CAPTCHA: Un CAPTCHA è un test di sicurezza sui siti web che aiuta a distinguere gli umani dai bot, spesso chiedendo agli utenti di risolvere semplici puzzle o identificare immagini.
• Phishing tramite Codici QR: Il phishing tramite codici QR utilizza codici QR malevoli per indirizzare gli utenti verso siti falsi che rubano credenziali o installano malware sui dispositivi.
• Furto di Credenziali: Il furto di credenziali consiste nel sottrarre dati di accesso, come nomi utente e password, spesso tramite siti falsi o email ingannevoli.
• Autenticazione Multifattore (MFA): L’autenticazione multifattore (MFA) è un metodo di sicurezza che richiede agli utenti di fornire due o più prove di identità prima di accedere a un account.