サイバー犯罪
TrendAI™のインテリジェンスが法執行機関による「Tycoon 2FA」運営者の逮捕に貢献
シンガポール警察（SPF）は、パキスタンの国家サイバー犯罪捜査庁（NCCIA）およびINTERPOL（国際刑事警察機構）と緊密に連携し、4つの大陸にまたがる犯罪者顧客にサービスを提供していたフィッシング事業「Tycoon2FA」に関与した2名を逮捕しました。
- シンガポール警察（SPF）とパキスタンの国家サイバー犯罪捜査庁（NCCIA）は、フィッシング・アズ・ア・サービス（PhaaS）事業「Tycoon2FA」に関与したとして、パンジャーブ州で2名を逮捕したと発表しました。このサービスは、2023年の登場以来24,000を超えるドメインを利用し、Microsoft 365やGoogleを標的とする大規模キャンペーンに使用されてきました。
- イスラマバード、ファイサラーバード、シアルコートで実施された一斉捜索では、コンピュータ、サーバ、モバイル端末、記憶媒体が押収されました。さらに4名の容疑者は捜索前に国外へ逃亡しており、NCCIAはINTERPOLの国際手配書（レッドノーティス）の発行を求める手続きを開始しています。また、違法行為による収益はイスラマバードの不動産購入に充てられており、NCCIAは現在その没収手続きを進めています。
- 今回の措置は、2026年3月に実施されたTycoon 2FAの中核インフラに対する連合によるテイクダウン作戦（TrendAI™がユーロポール、Microsoftをはじめとするパートナーとともに支援）とは別個の法執行活動です。3月の作戦では300を超えるドメインが差し押さえられました。今回の逮捕は、同じTycoon2FAブランドの下でインフラを構築・運用していたパキスタン国内の人物を対象としています。
- 3月のテイクダウンに先立ちTrendAI™がユーロポールと共有したアトリビューション（攻撃者特定）インテリジェンスは、その後INTERPOLに引き継がれ、今回の2名の逮捕、および捜索前にパキスタンから逃亡した残る4名に対する国際手配書（レッドノーティス）請求を取り巻く、より広範な法執行の全体像の一部を成しました。
はじめに
2026年8月3日、シンガポール警察は、Tycoon2FAに関与したパンジャーブ州の2名を逮捕したと発表しました（英語）。これに先立つ7月22日にはNCCIAが発表を行っており、詳細は現地メディアでも報じられています（英語）。TrendAI™が2025年の開始当初から参画してきた長期作戦にとって、歓迎すべき後続の成果です。
Tycoon 2FAのPhaaS中核インフラをオフラインに追い込んだ連合作戦については、3月の記事「ユーロポール、Microsoft、TrendAI™などが連携して摘発作戦を実施：フィッシングサービス『Tycoon 2FA』を解体」で紹介しました。この作戦はMicrosoftとユーロポールが主導し、TrendAI™を含む幅広い業界パートナーが支援したもので、同プラットフォームに関連する300を超えるドメインを差し押さえました。当時も指摘したとおり、インフラの解体で話が終わることはまれです。運営者は適応し、再構築し、移転します。また、過去に窃取された認証情報やセッションは、テイクダウン通知が掲示された後も長く流通し続けます。最終目標は当初から明確でした。真の成功とは、逮捕という形で実現するものだということです。
今週の法執行機関の発表は、その取り組みが続いていることを示すものです。捜査当局は、Tycoon2FAの名称で販売されていたフィッシングインフラを開発・運用した容疑で2名を逮捕しました。イスラマバード、ファイサラーバード、シアルコートで連携して実施された捜索では、コンピュータ、サーバ、携帯電話などのデジタル証拠が押収されました。捜索前に国外へ逃亡した他の4名の容疑者については、現在、INTERPOLの国際手配書（レッドノーティス）の発行が請求されています。
画像出典：https://www.phoneworld.com.pk/nccia-tycoon2fa-phishing-syndicate-arrested-pakistan-2026/（英語）
Tycoon 2FA：ブランドの背後にあるプラットフォーム
3月のテイクダウンを詳しく追っていなかった方のために、Tycoon 2FAとは何か、そしてその名を冠した事業がなぜ深刻に受け止めるべきものなのかを、あらためて整理しておきます。
Tycoon 2FAは、多要素認証（MFA）の突破に特化したPhaaSキットとして2023年8月に初めて確認されました。静的なユーザ名とパスワードを収集するだけでなく、被害者と正規のログインページの間に中間者（AitM: Adversary-in-the-Middle）プロキシを設置します。このプロキシはログインの流れをリアルタイムで中継します。被害者がパスワードを入力し、ワンタイムパスワード（OTP）を入力、あるいはプッシュ通知を承認すると、キットは認証情報、MFAコード、そして生成されたセッションCookieをその場で窃取します。窃取されたセッションCookieを再利用（リプレイ）すれば、MFAを突破するまでもなく完全に迂回して、アカウントを直接乗っ取ることができます。
3月の解体作戦の時点で、TrendAI™の追跡調査では、同プラットフォームには犯罪者による約2,000件のアクティブな契約が存在し、2023年の登場以来24,000を超えるドメインが使用されていたと推定されています。Proofpoint社も、同キットを通じてMicrosoft 365およびGoogleアカウントを標的とする大規模キャンペーンが実行されていたことを別途報告しています。その後のバージョンでは、ボット検出や自動分析を妨害するステルス機能が追加されたほか、モバイルブラウザのセッションも標的とするよう拡張されました。こうした段階的な強化により、防御側による特徴の把握（フィンガープリンティング）も、法執行機関による摘発も、次第に困難になっていきました。
このフィッシングプラットフォームの規模を可能にしたのは、サブスクリプションモデルです。犯罪者顧客が各自でインフラを構築したり、AitM攻撃の仕組みを理解したりする必要はなく、Tycoon 2FAはフィッシングドメイン、検出回避ツール、基本的なキャンペーン管理までを含む既製サービスとして貸し出されていました。
Tycoon 2FA運営者の逮捕
法執行機関の発表によると、この事業はフィッシング・アズ・ア・サービスのビジネスとして機能していました。逮捕された2名は自ら直接詐欺を働くのではなく、既製のフィッシングキットを構築し、他の犯罪者に貸し出していました。キットは、銀行をはじめとする信頼された機関のログインページを被害者を欺くのに十分なほど忠実に再現し、そのページへのリンクをメール、SMS、WhatsApp経由で配布していました。被害者がユーザ名、パスワード、ワンタイムパスコードを入力すると、そのデータは即座に運営者へ中継されます。これは、被害者が正規のログイン手順を進めていると信じている場合でも、AitM型キットがMFAを突破できるのと同じ中間者の仕組みです。
注目すべき点として、捜査当局によれば、この事業の収益はイスラマバードの高額不動産の購入に充てられており、NCCIAはすでにその物件を特定し、没収手続きに着手しています。フィッシングの収益を現金や暗号資産ではなく不動産へと洗浄する手口は、サイバー犯罪の収益が追跡や回収の難しい資産へと向かう傾向が強まる中で、注視すべきパターンです。今回のような没収手続きは、そうした資金をなお回収できるかどうかを測る重要な試金石となります。
インフラのテイクダウンから今回の逮捕へ
3月の作戦ではTycoon 2FAの中核インフラが解体されるとともに、TrendAI™が「SaaadFridi」および「Mr_Xaad」というハンドル名で追跡してきた開発者・運営者のペルソナが特定・公表されました。
今回の事案は、他のPhaaSやマルウェアの摘発でも見られるパターンをなぞっています。知名度のあるブランドとキットの設計は、一度のインフラ差し押さえの後も生き残る傾向があります。こうしたプラットフォームに収益性をもたらすサブスクリプションモデルが、同時に再立ち上げも容易にするからです。
3月のテイクダウンに先立ちTrendAI™がユーロポールと共有したアトリビューションの成果は、ドメインの差し押さえで終わりませんでした。ユーロポールはそのインテリジェンスをINTERPOLに引き継ぎ、NCCIAが現在行動の根拠としている、より広範な法執行の全体像の形成に寄与しました。そこには今回の逮捕の根拠に加え、捜索前にパキスタンから逃亡した4名の容疑者に対する国際手配書（レッドノーティス）の請求も含まれます。アトリビューションの取り組みを、単一のテイクダウン発表に紐づく一度きりの成果物ではなく、長期的な投資として位置づけている理由を示す好例といえます。テイクダウンや摘発を通じて収集されたインテリジェンスは、機関から機関へと引き継がれ、数カ月後に、別の国で、法執行ネットワークのまったく別の部門を通じて価値を発揮することがあるのです。
まとめ
3月に得られた教訓は変わっていません。研究者と法執行機関が追跡とインテリジェンス共有を絶やさず続けることこそが、既知の脅威を逮捕可能な対象へと変え、NCCIAのような国内機関が国際的な連合の築いた土台の上に成果を積み上げることを可能にします。シンガポール警察（SPF）、パキスタンのNCCIA、そしてINTERPOLによる見事な作戦遂行に祝意を表するとともに、今なお逃亡中の4名に対する国際手配書（レッドノーティス）請求の進展や、今後の刑事手続きの動向を引き続き注視していきます。また、Tycoon2FAの捜査を通じて共有してきた情報に関して協力いただいたユーロポールにも感謝いたします。
進行中の事件の常として、本記事で言及した人物には、裁判所が別段の判断を下さない限り推定無罪の原則が適用されます。また、現時点で把握されている事実は、完了した司法手続きではなく、シンガポール警察およびNCCIAの公式発表に基づくものです。
Tycoon 2FAが再登場する兆候がないか、今後も監視を続けます。逮捕には、インフラのテイクダウン単独よりも大きな重みがあります。差し押さえられたドメインとは異なり、訴追に直面する被告人は、名前を変えて簡単に再出発できるものではないからです。3月のテイクダウン単独では望めなかった形で今回の摘発が定着すると期待することは、決して的外れではないでしょう。
参考記事
TrendAI™ Intelligence Aids Law Enforcement Arrest of Tycoon 2FA Operators
By Christopher Boyton, Stephen Hilt
翻訳：与那城 務（Platform Marketing, TrendAI Research）