← Accueil actu | Salle du marché
2026-09-10 · Source：Computerworld
CloudSEK a mis au jour une plateforme de hameçonnage en tant que service qui dérobe des sessions Microsoft 365 authentifiées après la MFA, avec 5 137 enregistrements d'identifiants liés à 461 organisations dans plus de 40 pays.
La société de cybersécurité CloudSEK a documenté une opération de hameçonnage en tant que service (phishing-as-a-service) qui récolte des sessions Microsoft 365 authentifiées, même après que les victimes ont franchi l'authentification multifacteur (MFA). Cette campagne, suivie sous le nom de BigBear 2.0, a fait surface en juin lorsque les chercheurs de la société ont obtenu l'accès au panneau d'administration du service. Ce panneau contenait 5 137 enregistrements d'identifiants liés à 461 organisations ciblées dans plus de 40 pays. CloudSEK a en outre dénombré 4 148 cookies de session capturés et 1 032 mots de passe en clair parmi les données dérobées. Point crucial : 474 des enregistrements révélaient des connexions abouties dans lesquelles les attaquants avaient capturé la session authentifiée créée après la MFA — des sessions réutilisables pour détourner des comptes victimes sans jamais avoir à toucher à un mot de passe.
Le kit repose sur Evilginx2, un cadre logiciel qui place un proxy inverse contrôlé par l'attaquant entre la victime et le service d'authentification légitime de Microsoft. Une cible qui suit un lien de hameçonnage se connecte via la page relais et effectue la MFA comme à l'accoutumée. Une fois que Microsoft délivre le cookie de session authentifiée, l'infrastructure de hameçonnage l'intercepte, offrant à l'attaquant une session réutilisable sans répéter la moindre étape du processus d'authentification.
La cohérence géographique est également intégrée à l'opération. BigBear 2.0 achemine le trafic via des proxys résidentiels sélectionnés en fonction du pays de la victime, si bien que les tentatives d'authentification malveillantes paraissent géographiquement cohérentes avec l'utilisateur. CloudSEK avertit que cette technique peut affaiblir les contrôles fondés sur la localisation utilisés dans les politiques d'accès conditionnel (Conditional Access).
Les chercheurs ont également découvert du code sur mesure conçu pour désactiver l'authentification FIDO2/WebAuthn. Pris dans leur ensemble, les contenus du panneau — 5 137 enregistrements d'identifiants, 4 148 cookies de session, 1 032 mots de passe en clair et 474 captures de sessions post-MFA couvrant 461 organisations dans plus de 40 pays — montrent comment l'infrastructure de hameçonnage standard cible désormais les sessions authentifiées plutôt que les seuls identifiants.
Mots-clés: Microsoft 365 · CloudSEK · BigBear 2.0 · Evilginx2 · Phishing · MFA
萬安算交所 AIXX · AIXX · Bourse compute vérifiée · Accéder à la salle