BigBear 2.0 è stato usato per aggirare MFA in 258 organizzazioni e raccogliere oltre 5.000 credenziali Microsoft 365. Il punto non è il furto di password in sé, ma la possibilità di industrializzare il takeover degli account su molte tenant diverse.
Il kit porta la vittima in un flusso di accesso falso ma funzionante e rilancia la sessione abbastanza in fretta da catturare l’approvazione MFA nella stessa connessione. Una volta ottenuta quella sessione, l’attaccante la usa come se fosse l’utente vero e non ha più bisogno del codice.
Per chi usa Microsoft 365, la barriera pratica non è più la sola MFA. Se una sessione attiva viene intercettata, possono seguire accesso alla casella, phishing interno e reset di altri account, anche quando la password da sola non basta più.