Phishing som tjeneste stjeler økten etter at MFA er passert

Sikkerhetsselskapet CloudSEK beskrev 7. september 2026 BigBear 2.0, en phishingtjeneste som selges til andre kriminelle og brukes til å ta over kontoer i Microsoft 365. Kampanjen har rammet 461 virksomheter i mer enn 40 land, og har samlet inn tusenvis av passord og øktinformasjonskapsler. Tjenesten bygger på verktøyet Evilginx2 og stiller seg mellom offeret og Microsofts ekte innloggingstjeneste. Når offeret har fullført påloggingen, fanger den informasjonskapselen som utstedes for økten, og angriperen får tilgang uten å måtte gjennom MFA på nytt. En stjålet økt kan gi tilgang til Outlook, Teams, SharePoint, OneDrive og andre tilknyttede tjenester.

Tjenesten bruker også proxyer med adresser fra vanlige husstander, tilpasset hvert offers plassering, slik at mistenkelige pålogginger ser mer normale ut. CloudSEK har identifisert minst fem grupper som bruker tjenesten, og fant at stjålne opplysninger ble sendt til dem gjennom Telegram i sanntid.

Hva det betyr for deg som har ansvar for Microsoft 365

MFA med engangskode eller push stopper ikke dette. Brukeren logger inn på ekte vis, gjennom angriperens side, og angriperen får økten servert. Det som virker, er pålogging som er bundet til nettstedet og enheten, altså passnøkler eller FIDO2-nøkler, fordi de nekter å svare et domene som ikke er Microsofts. Har du fortsatt kodebasert MFA for administratorer og ledelse, er dette saken som bør flytte dem over.

Proxyene som ligner offerets hjemsted, betyr at «umulig reise» og landsperre ikke er nok som varsel. Vårt råd er å se på selve økten: hvor lenge den lever, om den kan trekkes tilbake, og om du oppdager en ny innboksregel eller et nytt appsamtykke minutter etter at økten ble opprettet. En stjålet økt er verdt lite hvis den dør raskt og alt den gjør, synes.

Berigo anbefaler

• Innfør phishingsikker pålogging med passnøkler eller FIDO2, for administratorer og ledelse først og deretter for alle.
• Slå på betinget tilgang som krever en registrert eller samsvarende enhet for tilgang til Microsoft 365.
• Kort ned levetiden på økter og oppdateringstokener, og øv på å trekke tilbake alle økter for en bruker.
• Varsle på nye innboksregler, nye appsamtykker og videresending opprettet kort tid etter en pålogging.
• Fortell brukerne at en innloggingsside som dukker opp midt i et dokument de fikk tilsendt, skal meldes og ikke fullføres.