MFAをすり抜けるフィッシング代行「BigBear 2.0」 — 461組織・5,100件超の認証情報を窃取とCloudSEKが報告

CloudSEKは2026年9月7日、Microsoft 365を狙うフィッシング・アズ・ア・サービス（PhaaS、攻撃基盤の貸し出し商売）「BigBear 2.0」の調査結果を公表した。同社の脅威調査チームTRIADは2026年6月にこの基盤を発見し、攻撃者の管理パネルに侵入して内部記録を直接確認した。パネルが管理していた42台のサーバーは461組織を標的とし、認証情報5,137件（うちMFA突破の成立474件、平文パスワード1,032件、セッションクッキー4,148件）が窃取されていた。被害IPは3,331件、対象国は40か国超に広がる。公表時点で攻撃は継続中だった。

本物のログイン画面を中継してセッションを横取りする

BigBear 2.0の中核は、オープンソースの中間者型フィッシング基盤「Evilginx2」を改変したものである。攻撃の流れは次の通りだ。利用者がフィッシングメールのリンクを開くと、攻撃者のサーバーが本物のMicrosoftのログイン画面（login.microsoftonline.com）をそのまま中継表示する。利用者がメールアドレスとパスワードを入力し、MFA（ワンタイムパスワードやプッシュ通知、SMS）を通過すると、Microsoftが発行した認証済みセッションのクッキーが攻撃者のサーバーを経由する際に横取りされる。攻撃者は横取りしたクッキーを自前のブラウザに読み込ませ、再認証なしにメールやTeams、SharePointへ入り込む。ワンタイムパスワード自体を解読する必要はなく、利用者に正規の認証を済ませてもらって発行直後の「済み札」を奪う仕組みである。

CloudSEKによると、パスワード入力の8割がセッションクッキーの窃取に結びつき、パスワード未入力でもセッションが奪われた例もあるという。FIDO2／WebAuthn（ハードウェアキーや生体認証など、ドメインに紐づく方式）はこの中継では突破できない設計だが、BigBear 2.0は後述の独自改造で利用者を脆弱な認証方式へ誘導する。

独自改造で検知と強固な認証をかわす

パネルの設定からは、標準のEvilginx2にない3件の独自改造が見つかった。第一に、フィッシングページに仕込んだJavaScriptがブラウザのFIDO2機能を無効化し、ハードウェアキー利用者をSMSやワンタイムパスワードなど奪い取り可能な方式へ誘い込む。第二に、Microsoftのフィッシング検知テレメトリや囮トークン（canary）宛ての通信を遮断し、攻撃の発覚を遅らせる。第三に、「サインイン状態を維持する」選択肢を自動で有効化し、奪取したセッションの寿命を延ばす。

秘匿化にも手が込んでいる。69か国分の住宅プロキシ（一般家庭の回線を経由する中継網）を使い分け、インドの利用者にはインドの回線経由でMicrosoftへ接続することで「いつもの国からのログイン」に見せかける。来訪者のIPを照合する仕組み（ipapi.is連携）でデータセンターやVPN経由の研究者・自動解析を遮断する仕掛けも備える。フィッシングドメインにはLet’s Encryptの証明書を自動発行し、利用者には鍵マーク付きの正規らしい画面が見える。

5系列の配下へ貸し出し、標的はIT事業者に集中

管理パネルは管理者・利用者の役割を持つ多利用者型で、少なくとも5系列の配下運用者がTelegramのBot経由で窃取情報を即時受け取っていた。CloudSEKはBotトークンの調査から配下5名のTelegram利用者を特定し、担当サーバー群との対応関係も明らかにした。運営者は「General Boss」と名乗り、サーバー42台はすべて同一のクラウド事業者（Vultr）に集約されていた。2026年7月下旬以降、42台のうち26台がパネルから削除されており、発覚を受けた証拠隠滅の最中とCloudSEKはみている。

被害の内訳では、インドが658件（全体の12.8％）で最多、フランス463件、サウジアラビア353件と続く。業種別ではITサービス・MSP（管理サービス事業者）が151組織で突出し、SaaS・技術38組織、石油・ガス22組織、製薬20組織、コンサル16組織が続く。IT事業者は顧客環境の管理権限を持つため、1件の侵害が下流の数十社への連鎖侵害に発展し得るとCloudSEKは指摘する。標的リストは広範なばらまきと業種特化型の併用とみられる。

CloudSEKが示す緩和策

CloudSEKは被害組織・防御者向けに以下の緩和策を示している。

• 影響を受けた利用者のパスワードを変更し、セッションと更新トークンを無効化して再認証を強制する
• フィッシング耐性MFA（FIDO2／WebAuthn）を導入する
• 条件付きアクセスで準拠デバイスからの接続を要求する
• 既知のEvilginx／BigBear由来セッションクッキー（evginx_session、bigbear_sessionなど）や特有のHTTPヘッダー（x-evg-で始まるもの）、Telegram経由の資格情報送信を検知するSigmaルールを監視に組み込む

Microsoft 365を利用する組織では、MFAを導入していても中間者型フィッシングの前では成立しない場合があることを前提に、ハードウェアキーなどフィッシング耐性のある認証方式の採用を検討したい。身に覚えのないセッションや海外・異常時間帯のサインイン通知があれば、パスワード変更の前にまずセッションの無効化と管理者への連絡を優先することが望ましい。

出典

• CloudSEK, “Tracking BigBear 2.0 Evilginx2 Phishing Campaign”（2026年9月7日）: https://www.cloudsek.com/blog/tracking-bigbear-2-0-evilginx2-phishing-campaign