BigBear 2.0, un servizio di phishing-as-a-service, ha violato la protezione MFA di Microsoft 365 in 258 organizzazioni, rubando oltre 5.000 credenziali e sessioni attive. L'attacco sfrutta proxy avanzati e tecniche anti-FIDO2 per colpire aziende in 40 paesi.
La sicurezza di Microsoft 365 è stata messa in ginocchio da BigBear 2.0, una piattaforma di phishing-as-a-service che ha aggirato la multi-factor authentication in 258 organizzazioni, sottraendo oltre 5.000 credenziali e sessioni attive. L'operazione, ancora in corso secondo CloudSEK, ha colpito aziende in più di 40 paesi e ha dimostrato quanto le difese tradizionali siano ormai insufficienti contro attacchi mirati e automatizzati.
Il cuore della minaccia è un'infrastruttura composta da 42 VPS, tutti focalizzati su Microsoft 365. BigBear 2.0 sfrutta un framework Evilginx2 per posizionarsi tra l'utente e i server Microsoft, intercettando password, cookie di sessione e persino autenticazioni MFA completate. Il risultato? Gli aggressori possono impossessarsi di account aziendali anche dopo che la vittima ha superato tutti i controlli di sicurezza previsti.
Come funziona l'attacco e perché è così efficace
BigBear 2.0 utilizza una configurazione denominata "offy" che crea un proxy man-in-the-middle tra la vittima e l'infrastruttura di autenticazione Microsoft. In questo modo, ogni dato inserito dall'utente - inclusi i codici MFA - viene catturato e immediatamente trasmesso agli operatori tramite bot Telegram in tempo reale. Il servizio è stato affittato ad almeno cinque affiliati, ognuno dei quali riceve le credenziali rubate senza alcuna interruzione.
La piattaforma non si limita a intercettare password: grazie a script JavaScript personalizzati, BigBear 2.0 disabilita le funzioni di autenticazione FIDO2/WebAuthn nei browser, costringendo le vittime a utilizzare metodi meno sicuri e più vulnerabili. Inoltre, per evitare i controlli di sicurezza geografici di Microsoft, il sistema impiega proxy residenziali geo-matched in 69 paesi, simulando l'accesso dalla stessa area della vittima e riducendo drasticamente la probabilità di blocchi automatici.
Dati concreti e impatto sulle aziende
CloudSEK, che ha ottenuto accesso amministrativo al pannello di controllo di BigBear, ha documentato 5.137 record di credenziali esfiltrate: 474 autenticazioni MFA completamente bypassate, 1.032 password in chiaro e 4.148 cookie di sessione. Questi dati corrispondono a 3.331 indirizzi IP unici, con 258 organizzazioni effettivamente compromesse e altre 203 nel mirino. Il rischio non si limita alla posta elettronica: una sessione autenticata su Microsoft 365 può aprire la porta a Teams, SharePoint, OneDrive e a tutte le applicazioni collegate tramite single sign-on.
Il fenomeno non è isolato. Attacchi simili hanno già colpito piattaforme cloud e strumenti di collaborazione, come evidenziato anche da precedenti indagini che hanno documentato la sottrazione di credenziali tramite moduli infetti e infrastrutture cloud compromesse.
Risposta delle aziende e raccomandazioni operative
CloudSEK ha notificato le forze dell'ordine e le organizzazioni coinvolte, fornendo dettagli sulle credenziali esposte. Al momento, il pannello di amministrazione di BigBear resta online, mentre l'infrastruttura di phishing risulta inattiva da quasi tre settimane. Le aziende potenzialmente colpite devono agire subito: reset delle password, revoca delle sessioni attive, aggiornamento dei token e obbligo di nuova autenticazione per gli account privilegiati sono misure non più rimandabili. L'adozione di FIDO2/WebAuthn resistenti al phishing e policy di Conditional Access basate su dispositivi gestiti rappresentano oggi l'unica vera barriera contro attacchi di questa portata.
La realtà è che la sicurezza "a strati" non basta più quando i criminali informatici dispongono di strumenti industrializzati come BigBear 2.0. L'illusione che la MFA sia una soluzione definitiva è stata demolita da un servizio che trasforma il phishing in un business scalabile e automatizzato. Chi continua a sottovalutare la sofisticazione di queste minacce rischia di vedere la propria azienda diventare il prossimo bersaglio: la difesa deve evolvere, perché gli attaccanti lo hanno già fatto.
