Kampanye phishing-as-a-service yang dikenal sebagai BigBear 2.0 telah berhasil menghimpun ribuan cookie sesi Microsoft 365 yang dapat digunakan untuk membajak akun yang telah diautentikasi melalui multifactor authentication. Operasi ini menargetkan pengguna Microsoft 365 dan mampu mencegat sesi yang telah diverifikasi MFA, sehingga penyerang tidak perlu melewati proses autentikasi ulang.
CloudSEK menemukan panel administratif BigBear 2.0 yang berisi 5.137 catatan kredensial dari 461 organisasi di lebih dari 40 negara. Selain itu, tercatat 4.148 cookie sesi yang berhasil ditangkap serta 1.032 kata sandi dalam bentuk plaintext. Sebanyak 474 catatan menunjukkan proses login yang telah selesai, di mana penyerang memperoleh sesi yang telah diautentikasi pasca-MFA.
BigBear 2.0 dibangun di atas kerangka Evilginx2 yang menempatkan reverse proxy di antara korban dan layanan autentikasi Microsoft. Korban tetap menyelesaikan MFA seperti biasa, namun infrastruktur phishing mampu mencegat cookie sesi yang dikeluarkan Microsoft. Teknik ini diperkuat dengan penggunaan residential proxy yang disesuaikan lokasi geografis korban, sehingga lalu lintas autentikasi tampak konsisten dengan kebiasaan pengguna dan berpotensi melemahkan pemeriksaan berbasis lokasi dalam Conditional Access.
Selain itu, ditemukan kode khusus yang dirancang untuk menonaktifkan FIDO2/WebAuthn pada halaman phishing, mendorong pengguna beralih ke metode autentikasi yang lebih rentan. Operasi ini bersifat multi-user dengan setidaknya lima operator afiliasi yang teridentifikasi, serta melibatkan 42 node VPS yang sebagian telah dihapus sejak akhir Juli.
Sektor layanan TI dan managed service provider menjadi target utama dengan 151 organisasi terdampak. Posisi mereka yang memiliki akses istimewa ke lingkungan pelanggan menjadikan mereka sasaran bernilai tinggi.
Dampaknya meluas pada perubahan paradigma keamanan identitas. Keberhasilan MFA tidak lagi dapat dianggap sebagai bukti keamanan sesi karena cookie dan token akses kini diperlakukan sebagai aset autentikasi bernilai tinggi. Organisasi perlu mengintegrasikan Continuous Access Evaluation serta token protection secara lebih luas.
Selain itu, penerapan zero-trust architecture menjadi semakin relevan karena serangan ini mengeksploitasi celah setelah autentikasi berhasil. Tim keamanan disarankan memasukkan skenario pembajakan sesi dalam latihan tabletop untuk menguji koordinasi antar tim identitas, operasi keamanan, dan cloud.
