BigBear 2.0 : un service de phishing par abonnement a piraté 258 organisations en contournant le MFA

Une plateforme de phishing accessible par abonnement a réussi à compromettre les comptes Microsoft 365 d'au moins 258 organisations réparties dans plus de 40 pays. Baptisée BigBear 2.0, elle a été mise au jour par les chercheurs de la société indienne CloudSEK, qui disent avoir eu accès au panneau d'administration du service. Les chiffres qu'ils avancent sont précis et cohérents avec le mode opératoire décrit, mais ils restent, à ce stade, la version d'un seul acteur : ni Microsoft ni les organisations touchées ne les ont confirmés publiquement.

Un proxy invisible entre la victime et Microsoft

BigBear 2.0 s'appuie sur Evilginx2, un outil open source détourné depuis plusieurs années à des fins malveillantes, pour mettre en place un proxy dit « adversary-in-the-middle » (AiTM). La victime croit se connecter directement au portail d'authentification de Microsoft 365, alors que son identifiant, son mot de passe et son second facteur transitent en réalité par l'infrastructure de l'attaquant, qui capture au passage le cookie de session généré après la connexion. Ce cookie permet ensuite de rejouer la session sans avoir à redemander ni mot de passe ni code : la double authentification classique par SMS, application ou code à usage unique ne suffit donc plus à arrêter l'intrusion une fois la session interceptée.

Une configuration nommée « offy » va plus loin, selon CloudSEK : elle injecte un script qui désactive l'authentification FIDO2 et WebAuthn — les clés de sécurité physiques ou les passkeys, considérées jusqu'ici comme la protection la plus robuste contre le phishing — pour forcer la victime vers une méthode plus faible, elle-même interceptable.

Une opération industrialisée

Le service tournait sur 42 serveurs VPS et s'appuyait sur des proxys résidentiels géolocalisés dans 69 pays, de manière à faire correspondre l'adresse IP de connexion à celle attendue par les systèmes de détection de Microsoft. CloudSEK dit avoir identifié au moins cinq opérateurs affiliés ayant loué l'accès à la plateforme. Au total, les chercheurs évoquent 5 137 identifiants dérobés, dont 1 032 mots de passe en clair, 4 148 cookies de session et 474 authentifications où le MFA a été intégralement contourné. Selon leur propre décompte, cité par BleepingComputer, la campagne était « affecting 3,331 unique victim IPs across 40+ countries, with the operation still active at the time of writing » — c'est-à-dire toujours en fonctionnement au moment où l'article a été publié, le 7 septembre.

Une tendance de fond, pas un cas isolé

Ce type d'attaque n'est pas nouveau, mais son industrialisation sous forme de service loué à la demande illustre une bascule que KLYNLABS documente régulièrement ces derniers jours : les attaquants ciblent de moins en moins les logiciels eux-mêmes et de plus en plus les identifiants et les sessions déjà authentifiées, qu'il s'agisse de l'exploitation de PaperCut dans des écoles et universités ou de la faille Citrix NetScaler activement exploitée. Le point commun : une fois l'identité d'un utilisateur volée, le mot de passe et le second facteur ne suffisent plus, à eux seuls, à arrêter l'intrus.

Ce qu'on ne sait pas encore

Ni les noms des organisations touchées, ni leur répartition par secteur d'activité n'ont été rendus publics. On ignore aussi si les autorités contactées par CloudSEK ont pu obtenir le retrait de l'infrastructure ou l'identification des opérateurs, et combien de comptes restent aujourd'hui compromis. Ces éléments restent à confirmer dans les prochains jours.

Source : BleepingComputer, « BigBear Microsoft 365 phishing service bypassed MFA at 258 organizations », 7 septembre 2026, d'après les recherches de CloudSEK.