Tycoon 2FA
一套 AiTM（Adversary-in-the-Middle）釣魚工具，可以繞過 2FA。
Ref: Tycoon 2FA: an in-depth analysis of the latest version of the AiTM phishing kit
機制
- 用 URL 或 QR Code 釣魚
- 濫用 Cloudflare Turnstile 擋掉機器人（避開資安掃描器）
- 釣魚頁是 reverse proxy：把使用者輸入的帳密和 2FA 即時轉給真的 Microsoft 登入頁
- 拿到登入後的 session cookie，用 WebSocket 外流
因為 session cookie 是在 2FA 通過後才拿到的，TOTP、push 通知這類 2FA 擋不住。
防範
- 用防釣魚的 MFA（FIDO2 / Passkey）：驗證綁定網域，中間人轉送會失敗
- 檢查網址的網域是不是 Microsoft 的。有鎖頭（SSL 憑證）不代表可信，釣魚站多半也有合法憑證