BigBearがMicrosoft 365を狙い撃ち　AitM攻撃で企業の認証情報を窃取

BigBearがMicrosoft 365を狙い撃ち　AitM攻撃で企業の認証情報を窃取

BleepingComputer – September 7, 2026

サイバーセキュリティ企業CloudSEKの調査を通じ、「BigBear 2.0」と呼ばれるフィッシング・アズ・ア・サービス（PhaaS）が複数企業のMicrosoft 365の認証情報を窃取していることが明らかになった。

BigBear 2.0はオープンソースの中間者（AitM）攻撃用フレームワーク「Evilginx2」をリブランディングしたものであり、「offy」という名のフィッシングパネルの構成が使用される。offyは被害者とMicrosoftの正規の認証インフラの間に中間者攻撃用プロキシを設置し、MFAを含む認証情報やセッションCookieを傍受。APIを介してこれらの情報を再利用することで、被害者の認証セッションを乗っ取っている。

CloudSEKの研究者が実際にBigBearのコントロールパネルへの管理者権限を取得したところ、VPSインフラが42件が確認され、これらすべてがMicrosoft 365を標的としていることが明らかになった。Microsoft 365はExchange Online、Teams、SharePoint、OneDrive、Entra ID認証などを統合しているため、認証済みのセッションが侵害された際にはメールやファイルが漏洩するだけでなく、SSOで接続したアプリにもアクセスされる恐れがある。

また、BigBearはFIDO2／WebAuthn認証を妨害するカスタムJavaScriptを使用することで、より脆弱な認証方法を使うよう被害者を誘導している模様。

BigBearはMFA認証情報や平文パスワード、セッションCookieを含む計5,137件の認証情報レコードを収集するだけでなく、組織258件の多要素認証をバイパスしており、40か国以上にわたる3,331件の固有IPに影響を与えているとCloudSEKは述べた。同社はすでに被害を受けた組織に通知を行ったという。

影響を受けた可能性のある組織は、パスワードやトークンの再設定や、セッションの無効化を行い、高権限アカウントの認証を今一度行うことが推奨される。また、組織が管理するデバイスを必要とする条件付きアクセスポリシーを使用し、FIDO2／WebAuthn認証を強制的に適用することも効果的であるそう。

9月7日時点では、管理パネルはオンライン状態であるものの、フィッシング用インフラは3週間近くオフラインになっているとのこと。