「BigBear 2.0」、Microsoft 365のMFAを突破し258社に侵入

サイバーセキュリティ企業CloudSEKの研究者によると、フィッシングをサービスとして提供する犯罪組織が、認証済みのMicrosoft 365セッションを窃取する手口で多要素認証(MFA)を突破し、258の組織に侵入していたことが明らかになりました。

CloudSEKは2026年6月、このオペレーションの管理パネルへのアクセスに成功し、「BigBear 2.0」の存在を発見しました。パネルには、40カ国以上の461の標的組織に関連する5,137件の記録が保存されていました。これらの記録には、4,148件のセッションCookie、1,032件の平文パスワード、474件のMFAバイパスによる認証完了データが含まれていました。

データセット全体では461組織が標的とされていましたが、BleepingComputerによると、CloudSEKはそのうち258組織で少なくとも1件のMFAバイパスによる侵害が完了していたと説明しています。被害が特に大きかった国には、インド、フランス、サウジアラビア、ニュージーランド、ドイツなどが挙げられます。

BigBearによるMFA突破の仕組み

BigBear 2.0は、被害者とMicrosoftの正規ログインサービスの間に割り込む中間者(AiTM)攻撃フレームワーク「Evilginx2」をベースに構築されています。

攻撃者はMFAの突破を試みるのではなく、被害者に通常通り認証を完了させます。するとフィッシング用のプロキシがMicrosoftから発行された認証済みセッションCookieを捕捉し、それを再利用することで、追加のMFAプロンプトなしに攻撃者にアクセス権を与えてしまう可能性があります。

このサービスは、69カ国にまたがる住宅用プロキシも利用しています。被害者の所在地に一致するIPアドレス経由でトラフィックを迂回させることで、攻撃者は不審なログインをより正常に見せかけ、位置情報に基づくセキュリティ対策を弱体化させることができます。

CloudSEKはさらに、フィッシングページ上でFIDO2/WebAuthn機能を無効化するカスタムJavaScriptも発見しました。これにより、ユーザーはプロキシ経由で傍受可能な認証方式へと誘導される恐れがあります。

単発の攻撃ではなく、犯罪サービスとして提供

BigBearのインフラは、単独の攻撃者ではなく複数の顧客向けに設計されていることをうかがわせます。CloudSEKは、別々のTelegramボット経由で窃取情報を受け取っている、少なくとも5つの提携オペレーターを特定しました。

このオペレーションは観測期間中、42台のVPSノードを運用していましたが、CloudSEKによると、運営者は7月下旬以降、そのうち26台をパネルから削除したとのことです。BleepingComputerの報道によれば、フィッシング用インフラが約3週間にわたりオフラインになっていた一方で、管理パネル自体はオンラインのままだったといいます。

最も被害が集中していた業種はITサービスおよびマネージドサービスプロバイダー(MSP)で、CloudSEKのデータセットでは151組織が特定されています。侵害されたプロバイダーのアカウント1つから複数の顧客のシステムが露呈しかねないため、これは深刻なリスクとなります。

組織が見直すべきポイント

今回のキャンペーンは、MFAプロンプトの通過だけをもってセッションが信頼できる証拠とみなすことはできない、という教訓を示しています。

関連する不審な活動を検知した組織は、有効なセッションとリフレッシュトークンを失効させ、影響を受けたユーザーに再認証を強制し、漏えいしたパスワードをリセットする必要があります。さらに重要なのは、単なる選択肢として提供するのではなく、FIDO2やWebAuthnなどのフィッシング耐性のある認証方式を必須化することです。

管理対象デバイスまたはコンプライアンス準拠デバイスを要求する条件付きアクセスポリシーも、位置情報シグナルへの依存を減らすうえで有効です。BigBearの住宅用プロキシはまさにこの位置情報シグナルを無力化するために設計されているからです。ここから得られる大きな教訓は、攻撃者が認証済みセッションを傍受・再利用できる状況では、MFAだけではアカウントを守り切れないということです。

関連記事: Microsoftのセッショントークンや認証ワークフローを狙う新たなフィッシング手口と、侵害されたアクセスを検知するために組織が講じられる防御策について解説しています。