正しいパスワードを入力し、MFA認証を完了させたにもかかわらず、Microsoft 365アカウントを乗っ取られてしまうケースがあります。フィッシングプラットフォーム「BigBear 2.0」は、第二要素認証を通過した後の認証済みセッションを横取りし、攻撃者に被害者のメール、Teams、SharePoint、OneDrive、そして連携するすべてのサービスへのアクセス権を、そのままの形で引き渡してしまうのです。
BigBear 2.0はEvilginx2をベースに構築されており、Adversary-in-the-Middle(AiTM)攻撃として動作します。被害者がフィッシングリンクを開くと、リバースプロキシがブラウザと本物のMicrosoftログインページの間に割り込みます。ユーザー名、パスワード、第二要素の入力プロンプトはすべてMicrosoftの正規システムを経由するため、ユーザーには見慣れたインターフェースが表示され、認証はそのまま成功してしまいます。
核心的な窃取はMFA通過後に発生
本質的な情報窃取が起きるのは、MFAを通過した後のことです。Microsoftは認証成功を示すセッションクッキーをブラウザに発行しますが、そのレスポンスはまずEvilginx2サーバーを経由します。BigBear 2.0はこのクッキーを保持し、まったく別のブラウザでセッションを自動的に再生することができます。攻撃者がパスワードやSMSコード、TOTP、プッシュ通知を改めて入力する必要は一切ありません。
運営者は標準のEvilginx2に独自のJavaScript改変を加えています。あるスクリプトはブラウザ上でPublicKeyCredentialを無効化し、FIDO2/WebAuthnを妨害することで、ユーザーをSMSやワンタイムコード、プッシュ通知による認証へと誘導します。BigBear 2.0自体がFIDO2を破っているわけではありません。暗号学的な検証は正規のドメインに紐づいているため、このプラットフォームは代わりに、フィッシング耐性のあるログイン方法を被害者に放棄させようと仕向けているのです。
その他の改変では、Microsoftのテレメトリの一部を抑制し、「サインインしたままにする」を自動的に有効化することで、盗んだセッションをより長く有効な状態に保っています。発覚を防ぐため、このインフラは69カ国から集めた住宅用プロキシを利用しており、被害者の所在地に地理的に一致させています。そのため、インドからのログインはインドのIPアドレスを経由することになり、国の急な変化を検知するポリシーによる警戒をはるかにかいくぐりやすくなっています。
この攻撃活動の規模
このプラットフォームの管理パネルには、驚くべき量のデータが蓄積されていました。総計5,137件の記録があり、そのうち平文パスワードが1,032件、セッションクッキーが4,148件、MFA通過後に完全に乗っ取られたセッションが474件含まれていました。これらの記録は461の組織、40カ国以上にまたがる3,331個の一意なIPアドレスに及んでいます。被害者の割合が最も大きかったのはインド、フランス、サウジアラビアで、標的として特に目立ったのはIT企業とマネージドサービスプロバイダーでした。
CloudSEKのTRIAD研究チームがレポートで詳述しているとおり、このプラットフォームは2026年6月、同チームが攻撃者の管理パネルへの管理者権限アクセスを獲得したことで発覚しました。観測期間中、42台のVPSノードがこのパネルを次々と入れ替わりながら利用しており、少なくとも5つのアフィリエイトが、それぞれ専用のTelegramボットを通じて盗んだデータを受け取っていました。「General Boss」というエイリアスで活動する運営者は、このツールキットを事実上、他の犯罪者にレンタル可能なPhishing-as-a-Serviceへと仕立て上げています。
防御に向けた推奨事項
この種の攻撃に対しては、単にMFAを有効化しているというだけではもはや不十分です。組織は、脆弱なフォールバック認証方式を禁止し、FIDO2/WebAuthnへの移行を進めることが推奨されます。さらに、Conditional Accessを通じて信頼できるデバイスであることを要件として強制し、侵害が疑われた場合にはパスワードだけでなく、有効なセッションやリフレッシュトークンも失効させるべきです。パスワードのリセットだけでは、攻撃者がすでに盗んだアクセス権を保持したままになってしまう恐れがあります。
翻訳元: https://meterpreter.org/bigbear-2-0-phishing-mfa-bypass/
