# BigBear 2.0 : un service de phishing par abonnement a piraté 258 organisations en contournant le MFA

> Des chercheurs de CloudSEK affirment avoir infiltré le panneau d'administration de cette plateforme de phishing-as-a-service, qui a intercepté plus de 5 000 identifiants et neutralisé l'authentification FIDO2 chez ses victimes.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/bigbear-phishing-microsoft-365-mfa-258-organisations
- Auteur : Kelvyn
- Publié le : 7 septembre 2026 (2026-09-07T15:44:00.000Z)
- Rubrique : Cybersécurité
- Sujets : Cybersécurité, Phishing, Microsoft 365, MFA, CloudSEK
- Langue : français

Une plateforme de phishing accessible par abonnement a réussi à compromettre les comptes Microsoft 365 d'au moins 258 organisations réparties dans plus de 40 pays. Baptisée **BigBear 2.0**, elle a été mise au jour par les chercheurs de la société indienne CloudSEK, qui disent avoir eu accès au panneau d'administration du service. Les chiffres qu'ils avancent sont précis et cohérents avec le mode opératoire décrit, mais ils restent, à ce stade, la version d'un seul acteur : ni Microsoft ni les organisations touchées ne les ont confirmés publiquement.

## Un proxy invisible entre la victime et Microsoft

BigBear 2.0 s'appuie sur Evilginx2, un outil open source détourné depuis plusieurs années à des fins malveillantes, pour mettre en place un proxy dit « adversary-in-the-middle » (AiTM). La victime croit se connecter directement au portail d'authentification de Microsoft 365, alors que son identifiant, son mot de passe et son second facteur transitent en réalité par l'infrastructure de l'attaquant, qui capture au passage le cookie de session généré après la connexion. Ce cookie permet ensuite de rejouer la session sans avoir à redemander ni mot de passe ni code : la double authentification classique par SMS, application ou code à usage unique ne suffit donc plus à arrêter l'intrusion une fois la session interceptée.

Une configuration nommée « offy » va plus loin, selon CloudSEK : elle injecte un script qui désactive l'authentification FIDO2 et WebAuthn — les clés de sécurité physiques ou les passkeys, considérées jusqu'ici comme la protection la plus robuste contre le phishing — pour forcer la victime vers une méthode plus faible, elle-même interceptable.

## Une opération industrialisée

Le service tournait sur 42 serveurs VPS et s'appuyait sur des proxys résidentiels géolocalisés dans 69 pays, de manière à faire correspondre l'adresse IP de connexion à celle attendue par les systèmes de détection de Microsoft. CloudSEK dit avoir identifié au moins cinq opérateurs affiliés ayant loué l'accès à la plateforme. Au total, les chercheurs évoquent 5 137 identifiants dérobés, dont 1 032 mots de passe en clair, 4 148 cookies de session et 474 authentifications où le MFA a été intégralement contourné. Selon leur propre décompte, cité par BleepingComputer, la campagne était « [affecting 3,331 unique victim IPs across 40+ countries, with the operation still active at the time of writing](https://www.bleepingcomputer.com/news/security/bigbear-microsoft-365-phishing-service-bypassed-mfa-at-258-organizations/) » — c'est-à-dire toujours en fonctionnement au moment où l'article a été publié, le 7 septembre.

## Une tendance de fond, pas un cas isolé

Ce type d'attaque n'est pas nouveau, mais son industrialisation sous forme de service loué à la demande illustre une bascule que KLYNLABS documente régulièrement ces derniers jours : les attaquants ciblent de moins en moins les logiciels eux-mêmes et de plus en plus les identifiants et les sessions déjà authentifiées, qu'il s'agisse de l'exploitation de [PaperCut dans des écoles et universités](https://klynlabs.eu/articles/papercut-failles-exploitees-ecoles-universites-identifiants) ou de la faille [Citrix NetScaler activement exploitée](https://klynlabs.eu/articles/citrix-netscaler-faille-authentification-exploitee). Le point commun : une fois l'identité d'un utilisateur volée, le mot de passe et le second facteur ne suffisent plus, à eux seuls, à arrêter l'intrus.

## Ce qu'on ne sait pas encore

Ni les noms des organisations touchées, ni leur répartition par secteur d'activité n'ont été rendus publics. On ignore aussi si les autorités contactées par CloudSEK ont pu obtenir le retrait de l'infrastructure ou l'identification des opérateurs, et combien de comptes restent aujourd'hui compromis. Ces éléments restent à confirmer dans les prochains jours.

> Réinitialiser les mots de passe et révoquer les sessions actives ne suffit pas si le second facteur reste contournable. CloudSEK recommande de migrer vers des clés FIDO2 matérielles liées à l'appareil et de restreindre les connexions aux terminaux gérés via des politiques d'accès conditionnel, plutôt que de se reposer sur la seule présence d'une authentification à plusieurs facteurs, quelle qu'elle soit.

Source : [BleepingComputer, « BigBear Microsoft 365 phishing service bypassed MFA at 258 organizations », 7 septembre 2026, d'après les recherches de CloudSEK](https://www.bleepingcomputer.com/news/security/bigbear-microsoft-365-phishing-service-bypassed-mfa-at-258-organizations/).

## À retenir

- BigBear 2.0, un service de phishing loué par abonnement, aurait compromis 258 organisations dans plus de 40 pays, selon CloudSEK.
- La plateforme utilise un proxy « adversary-in-the-middle » qui intercepte identifiant, MFA et cookie de session — pas seulement le mot de passe.
- Un script dédié désactive l'authentification FIDO2/WebAuthn pour forcer les victimes vers des méthodes plus faibles.
- 5 137 identifiants et 474 sessions avec MFA contourné ont été recensés ; l'opération était encore active le 7 septembre.
- Les organisations touchées ne sont pas identifiées publiquement et le sort de l'infrastructure reste inconnu.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/bigbear-phishing-microsoft-365-mfa-258-organisations