BigBear mira Microsoft 365, entenda o impacto
Serviço de phishing burlou MFA e expôs credenciais corporativas em larga escala.
Resumo rapido
O BigBear 2.0, serviço de phishing vendido pronto para uso por criminosos, foi ligado ao roubo de mais de 5.000 credenciais do Microsoft 365. A operação atingiu 258 organizações e contornou a autenticação multifator capturando sessões já autenticadas.
Neste artigo voce vai aprender:
- O que é o BigBear 2.0 e por que ele preocupa empresas.
- Como o ataque consegue burlar o MFA no Microsoft 365.
- Quais sinais podem indicar risco em contas corporativas.
- Que ações tomar após suspeita de roubo de credenciais.
- Um checklist simples para reduzir a exposição.
258 organizações e mais de 5.000 credenciais do Microsoft 365
Pesquisadores da CloudSEK analisaram o painel administrativo do BigBear 2.0 e encontraram uma operação desenhada para atacar o Microsoft 365. Pelo material divulgado, a campanha alcançou 258 organizações e resultou no roubo de mais de 5.000 credenciais.
O detalhe que muda o tamanho do problema é o que vem junto com a senha. O ataque também captura cookies de sessão, os registros que mantêm a conta conectada depois do login. Com eles, o criminoso pode entrar como se já tivesse cumprido a etapa de autenticação multifator, sem disparar um novo pedido de aprovação.
Um intermediário entre a vítima e a página real da Microsoft
O BigBear apoia-se em uma estrutura baseada em Evilginx2, classificada como ataque de intermediário. Em linguagem direta: a vítima acredita estar na tela legítima de autenticação da Microsoft, mas todo o tráfego passa por um servidor sob controle do atacante.
Na infraestrutura observada, os pesquisadores identificaram 42 nós VPS configurados para mirar o Microsoft 365. A plataforma usa uma configuração chamada "offy", posicionada entre a vítima e o ambiente real de autenticação da Microsoft. Quando a pessoa digita a senha e conclui o MFA, senha e cookies de sessão são capturados no caminho, e o criminoso tenta assumir aquela sessão já validada.
Sinais de alerta em contas corporativas
Esse tipo de golpe vive de parecer legítimo, então os indícios costumam ser discretos. Alguns pontos merecem atenção imediata dos times de TI e dos próprios usuários:
- Links de login recebidos por email, chat ou mensagem fora do fluxo normal da empresa.
- Páginas de Microsoft 365 abertas a partir de redirecionamentos incomuns.
- Solicitações inesperadas de autenticação multifator.
- Acessos ao Microsoft 365 que não batem com o horário ou a rotina do usuário.
- Movimentações estranhas em email, Teams, SharePoint, OneDrive ou outros serviços ligados à conta.
Trocar a senha não encerra o incidente
Empresas que usam Microsoft 365 precisam tratar credenciais e sessões como ativos igualmente críticos. Havendo suspeita de phishing, redefinir a senha pode não resolver nada, já que o atacante talvez esteja de posse de uma sessão autenticada e ainda válida.
- Revogue sessões ativas de usuários suspeitos e force novo login.
- Troque senhas de contas afetadas ou expostas.
- Revise acessos recentes e atividades fora do padrão.
- Oriente colaboradores a não acessar Microsoft 365 por links recebidos em mensagens inesperadas.
- Monitore emails e arquivos, porque contas comprometidas expõem mensagens, documentos e dados internos.
Checklist pratico
- Mapeie usuários que receberam links suspeitos e verifique se houve login recente no Microsoft 365.
- Revogue sessões, redefina senhas e acompanhe atividades em Exchange Online, Teams, SharePoint e OneDrive.
- Reforce a conscientização: o MFA ajuda, mas não impede golpes que roubam sessões autenticadas.
Perguntas frequentes
O MFA foi quebrado?
Não exatamente. Pelo material analisado, o ataque engana a vítima e captura a sessão depois que ela conclui o MFA. O criminoso reutiliza essa sessão autenticada em vez de derrotar o segundo fator.
Quem usa Microsoft 365 está automaticamente comprometido?
Não. A campanha descrita atingiu 258 organizações específicas. Ainda assim, qualquer empresa que dependa do Microsoft 365 deveria revisar seus controles de acesso e orientar usuários.
Trocar a senha resolve?
Ajuda, mas pode não bastar se cookies de sessão foram capturados. O ideal é revogar sessões ativas e revisar acessos recentes junto com a troca de senha.
Proteja sua empresa com a LC SEC
A LC SEC apoia empresas na revisão de acessos, conscientização contra phishing, governança de MFA e monitoramento de ameaças que miram ambientes Microsoft 365.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Compartilhe nas redes sociais:
