BigBear 2.0 phishing campaign hijacks Microsoft 365 sessions after MFA

CloudSEK phát hiện chiến dịch BigBear 2.0 đánh cắp 4,148 session cookie và 1,032 mật khẩu dạng plaintext từ 461 tổ chức tại hơn 40 quốc gia. Kẻ tấn công lợi dụng lỗ hổng trong xác thực đa yếu tố (MFA) để chiếm quyền điều khiển session Microsoft 365. Nguyên nhân kỹ thuật là việc các cookie session bị sử dụng lại mà không cần xác thực lại sau khi hết hạn. Hệ quả là tin tặc có thể truy cập vào tài nguyên nhạy cảm mà không cần vượt qua cơ chế bảo vệ MFA. Điều đáng học là triển khai giám sát bất thường session cookie và yêu cầu xác thực lại định kỳ ngay cả khi cookie còn hiệu lực.