ハッカーがMicrosoft 365のセッションを窃取、MFA突破後もアカウントを乗っ取り

サイバー犯罪者は、Evilginx2フィッシング・アズ・ア・サービスプラットフォームを改称した「BigBear 2.0」を使い、認証済みのMicrosoft 365セッションを傍受しています。これにより、被害者が多要素認証(MFA)を完了した後でもアカウントを乗っ取ることが可能になっています。

CloudSEKのTRIADチームは、2026年6月にこの運用の管理パネルへの管理者アクセス権を取得し、この犯罪活動の実態を明らかにしました。

このキャンペーンは、Microsoft 365の防御担当者にとって重要な現実を浮き彫りにしています。SMSコード、TOTP認証アプリ、プッシュ通知、音声通話といった従来型のMFA手法は、ユーザー本人の認証には成功しても、認証後に発行されたセッションを盗み取るAiTM(Adversary-in-the-Middle、中間者プロキシ攻撃)を阻止できないという点です。

BigBear 2.0は「General Boss」というエイリアスを使う攻撃者によって運営されており、マルチテナント型のフィッシング・アズ・ア・サービスプラットフォームとして構築されています。

このキャンペーンの期間中、パネルは主にVultrのインフラ上でホストされた42のVPSノードを管理し、Evilginx2から派生した「offy」フィッシュレットはMicrosoft 365の認証トラフィックをプロキシするために特化して設定されていました。

7月下旬以降、運営者は観測された26のノードを削除しており、これは能動的なインフラ整理とフォレンジック対策の活動を示しています。

収集されたデータセットには、平文パスワード1,032件、セッションCookie 4,148件、そして被害者がMFAを完了した後にセッションを乗っ取られた完全な認証情報474件が含まれていました。

最も被害が大きかった国は、インド、フランス、サウジアラビア、ニュージーランド、ドイツでした。

通常の認証情報窃取ページとは異なり、BigBear 2.0は被害者とMicrosoftの正規サインインサービスとの間で透過的なリバースプロキシとして動作します。

フィッシングリンクをクリックした被害者には、攻撃者が管理するドメインを経由してMicrosoft 365のログインフローが提示され、フィッシングサーバーがリクエストとレスポンスをlogin.microsoftonline.comに中継します。

被害者がユーザー名とパスワードを入力し、続いてプッシュ通知を承認するかワンタイムコードを送信すると、Microsoftはこの認証イベントを検証し、認証済みのブラウザセッションを返します。

この段階で、AiTMサーバーはMicrosoftが発行したセッションCookieを、被害者にレスポンスを転送する前に取得します。

攻撃者はその後、別のブラウザセッションでこのCookieをリプレイすることで、パスワードやMFAコードを再度必要とすることなく、被害者の認証済みアクセス権を引き継ぐことができます。

これにより、Exchange Onlineのメールボックス、Teams、SharePoint Online、OneDrive、Entra IDリソース、そしてMicrosoft IDと連携するSaaSアプリケーションが危険にさらされる可能性があります。

CloudSEKの調査によると、このプラットフォームは40カ国以上にわたる461の組織および3,331の固有な被害者IPアドレスに影響を及ぼす、5,137件の認証情報レコードを収集していたことが判明しました。

乗っ取られたMicrosoft 365セッション

この手法はMFAの暗号技術そのものを破るものではありません。その代わりに、認証成功後のセッショントークンに置かれる信頼を悪用します。

この違いは重要です。攻撃者がすでにアクティブなセッションやリフレッシュトークンを保持している場合、パスワードのリセットだけでは攻撃者を排除できない可能性があるからです。

BigBear 2.0は、69カ国にまたがる位置情報マッチング型のレジデンシャルプロキシプールを使用していました。

被害者の地理的位置に一致するIPアドレスを経由してMicrosoftへの上流接続をルーティングすることで、このプラットフォームは位置情報に基づく異常検知や地理的ブロック制御の効果を低下させることができます。

CloudSEKはまた、リアルタイムのTelegram通知を通じて盗まれた認証情報やCookieを受け取っている、少なくとも5つの提携運営者を特定しました。

このアーキテクチャには、一元化されたパネル管理、ユーザーごとのVPS割り当て、Cookieリプレイの自動化、ライブイベントログ機能が含まれており、単発のフィッシングキットではなく、商用のフィッシング・アズ・ア・サービス運用に一致する構成となっています。

研究者らは、プロキシされたページにカスタムJavaScriptが注入され、FIDO2/WebAuthnフローを妨害したり、特定のMicrosoftテレメトリエンドポイントを抑制したり、「サインイン状態を維持する」オプションを自動的に選択したりする様子を確認しました。

その狙いは、被害者をよりフィッシングされやすい脆弱な認証方式へと誘導し、窃取したセッションの有効寿命を最大化することにあります。

FIDO2セキュリティキー、パスキー、Windows Hello for Businessは、その暗号学的なアサーションがWebサイトのオリジンに紐付けられているため、構造的にAiTMフィッシングへの耐性が高くなっています。

セキュリティ製品とサービス

login.microsoftonline.com向けに登録された認証情報は、たとえそのドメインがMicrosoftへのトラフィックをプロキシしていたとしても、攻撃者が管理するフィッシングドメインでは認証されません。

組織は、管理者、財務担当チーム、ITサービスプロバイダー、権限を持つクラウドユーザー、そして機密性の高いSharePoint、Exchange、Azureリソースへのアクセス権を持つアカウントに対して、フィッシング耐性のあるMFAを優先的に導入すべきです。

Entra条件付きアクセスポリシーもまた、可能な限り準拠済みまたは管理対象のデバイスを要求し、レガシー認証を制限し、価値の高いアプリケーションに対してより強力な認証要件を適用すべきです。

BigBear型の侵害が疑われる場合、防御担当者はアクティブなセッションとリフレッシュトークンを失効させ、再認証を強制し、認証情報をリセットし、Entraのサインインアクティビティを確認したうえで、メールボックスルール、OAuth同意の付与、新規のMFA登録、異常な管理操作を調査する必要があります。

盗まれたセッションが明示的に無効化されるまでCookieリプレイによってアクセスが維持される可能性があるため、パスワードリセットのイベントのみを確認するのでは不十分です。

このキャンペーンは、MFAが依然として不可欠であることを裏付ける一方で、MFA単体ではもはや現代のMicrosoft 365フィッシング攻撃に対する十分な防御にはならないことを浮き彫りにしています。

セキュリティの境界線は、フィッシング耐性のある認証、デバイスの信頼性、セッション制御、そして認証後の不審な挙動を迅速に検知する能力にますます依存するようになっています。

IOC(侵害指標)

注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されることを防ぐため、意図的に無害化されています(例: [.])。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

★ AI SOC導入における7つの指標ゲート方式フェーズを学ぶ – 無料のAI SOC導入プレイブック2026をダウンロード。