Mariana Sousa 
BigBear 2.0 — a campanha opera como um serviço de phishing que permite reutilizar sessões autenticadas do Microsoft 365 mesmo após a vítima completar a autenticação multifator, transformando a MFA numa barreira insuficiente quando as cookies de sessão são interceptadas.
Como o ataque captura sessões pós‑MFA
BigBear 2.0 assenta no framework Evilginx2, que insere um proxy reverso controlado pelo atacante entre o utilizador e o serviço legítimo de autenticação. O utilizador autentica-se normalmente, incluindo MFA, mas o atacante intercepta o cookie de sessão emitido pelo Microsoft 365 e o reutiliza para acesso sem nova autenticação.
A operação reuniu 5.137 registos de credenciais ligados a 461 organizações em mais de 40 países, com 4.148 cookies de sessão capturados, 1.032 senhas em claro e 474 registos de logins completos que confirmam a reutilização de sessões.
"O que o BigBear 2.0 altera é a acessibilidade e a escala." — Akshat Tyagi, líder de prática associado na HFS Research
Escala, táticas e recomendações operacionais
A campanha funciona como phishing‑as‑a‑service com pelo menos cinco operadores afiliados e observou 42 nós VPS, dos quais 26 foram removidos do painel desde finais de julho. A infraestrutura utiliza proxies residenciais escolhidos pelo país da vítima, dificultando detecção por verificações de localização em políticas de Conditional Access.
Especialistas apontam que métodos de MFA baseados em OTP, SMS e push não devem ser considerados suficientes; a aposta recomendada é em autenticação resistente a phishing (FIDO2/WebAuthn, Windows Hello for Business, ou autenticação baseada em certificados) e em medidas como Continuous Access Evaluation e proteção de tokens.
O que acha? Acha que as empresas devem exigir autenticação resistente a phishing para proteger o Microsoft 365? Para acompanhar mais análises, aceda à nossa editoria de Tecnologia.
Perguntas Frequentes
Como o BigBear 2.0 consegue reutilizar sessões do Microsoft 365 depois da utilização do MFA?
O BigBear 2.0 utiliza o framework Evilginx2 como proxy reverso para interpor-se entre o utilizador e o serviço de autenticação do Microsoft 365; assim, quando a Microsoft emite um cookie de sessão após a MFA, a infraestrutura maliciosa captura esse cookie. Nos registos analisados foram encontrados 4.148 cookies de sessão e 474 logins completos que confirmam o método.
Quais setores e quantas organizações foram visadas pela campanha BigBear 2.0?
O relatório mostra que o BigBear 2.0 abrangeu 461 organizações em mais de 40 países, com 151 alvos identificados na área de serviços de TI e fornecedores geridos — o setor mais representado. O conjunto total incluía 5.137 registos de credenciais armazenados no painel da operação.
Que técnicas fazem a campanha parecer legítima do ponto de vista geográfico?
BigBear 2.0 recorre a proxies residenciais configurados pelo país da vítima, o que permite que tentativas de autenticação pareçam geograficamente consistentes com o utilizador. A operação também contou com 42 nós VPS observados, sendo que 26 desses nós foram eliminados do painel desde finais de julho.
Que ações imediatas devem ser tomadas se houver suspeita de comprometimento por BigBear 2.0?
Em caso de suspeita de compromisso por BigBear 2.0, recomenda‑se tratar o incidente como comprometimento de sessão: desativar ou isolar a conta afetada, revogar Entra sign‑in sessions e refresh tokens e forçar nova autenticação. Posteriormente, analisar logs do Microsoft 365 por acesso a caixas de correio, regras maliciosas, consentimentos OAuth e dispositivos MFA registados.
O que muda na fiabilidade da MFA após a exposição do BigBear 2.0?
BigBear 2.0 demonstra que a MFA tradicional (OTP, SMS, push) pode ser contornada quando um cookie de sessão é capturado; por isso, a MFA deixou de ser garantia absoluta de segurança. A recomendação é reforçar com FIDO2/WebAuthn, Windows Hello for Business ou autenticação por certificados e aplicar políticas de Conditional Access com força de autenticação aumentada.
