Microsoft 365: BigBear 2.0 kaperte 474 Konten trotz MFA
Veröffentlicht am: 08.09.2026 um 21:42 Uhr | Redaktion boerse-global.de
Sicherheitsexperten von CloudSEK haben eine weitreichende Phishing-as-a-Service-Operation identifiziert, die gezielt Microsoft 365-Sitzungen kompromittiert. Die unter dem Namen BigBear 2.0 bekannte Kampagne ist in der Lage, selbst Konten mit aktiver Mehrfaktor-Authentisierung (MFA) zu übernehmen.
Den Berichten zufolge wurden bereits 5.137 Datensätze entwendet, darunter 4.148 Sitzungscookies sowie 1.032 Klartext-Passwörter. Besonders kritisch bewerten Analysten den Diebstahl von 474 vollständigen Logins, bei denen die MFA-Hürden erfolgreich umgangen wurden.
Professionelle Infrastruktur und globale Reichweite
Die Kampagne wird von einem Akteur betrieben, der unter dem Pseudonym General Boss auftritt und mit mindestens fünf weiteren Partnern zusammenarbeitet. Technisch basiert der Angriff auf dem Einsatz des Frameworks Evilginx2 in einer speziellen Konfiguration.
Zur Verschleierung der Aktivitäten nutzt die Operation eine komplexe Infrastruktur aus 42 virtuellen Serverknoten (VPS) und Residential Proxys in 69 Ländern. Ein wesentliches Merkmal von BigBear 2.0 ist die gezielte Deaktivierung von Sicherheitsstandards wie FIDO2 und WebAuthn, wodurch herkömmliche Schutzmechanismen ihre Wirkung verlieren.
Bisher sind 461 Organisationen in über 40 Ländern von den Angriffen betroffen. Die Branche der IT-Dienstleister bildet mit 151 betroffenen Unternehmen den Schwerpunkt der Angriffsaktivitäten.
Die geografische Auswertung der entwendeten Daten zeigt eine Konzentration in Indien mit 658 betroffenen Datensätzen, gefolgt von Frankreich mit 463 und Saudi-Arabien mit 353 Fällen. Insgesamt sind 3.331 IP-Adressen weltweit involviert, wobei auch Ziele in Deutschland und Neuseeland registriert wurden. Laut den Sicherheitsforschern ist die Kampagne weiterhin aktiv.
Rekord-Schäden durch Phishing zeigen, warum immer mehr Unternehmen jetzt auf gezielte Awareness-Kampagnen setzen müssen. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich wirksam gegen moderne Angriffsmethoden schützen kann. Anti-Phishing-Paket jetzt kostenlos anfordern
Weitere Bedrohungen durch Token-Diebstahl und Vishing
Parallel zu den Erkenntnissen über BigBear 2.0 berichten Analysten von Arctic Wolf über eine weitere Angriffswelle namens PREY-0058. Diese zielt primär auf Führungskräfte in US-Unternehmen aus den Bereichen Bauwesen, Gesundheit und Finanzen ab.
Die Angreifer kombinieren dabei Vishing-Anrufe, bei denen sie sich als technischer Support ausgeben, mit dem Diebstahl temporärer digitaler Schlüssel. Über sogenannte Adversary-in-the-Middle-Panels (AiTM) werden Daten direkt aus SharePoint, OneDrive und Exchange exfiltriert. Eine Installation von Schadsoftware auf den Zielgeräten findet dabei nicht statt.
Auch im deutschsprachigen Raum registrieren Organisationen wie die IHK Oberfranken eine Zunahme hochprofessioneller Phishing-Versuche. Unter der Bezeichnung Kali365 werden täuschend echte E-Mails versendet, die darauf abzielen, Microsoft 365-Zugänge zu kapern. Experten der whitelisthackers GmbH warnen in diesem Zusammenhang, dass herkömmliche MFA-Verfahren oft keinen ausreichenden Schutz gegen diese spezialisierten Methoden bieten.
Wer die IT-Sicherheit im Betrieb stärken möchte, ohne teure Investitionen zu tätigen, findet in diesem Leitfaden wertvolle Unterstützung. Das Gratis-E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen proaktiv erfüllen. Kostenloses E-Book für Unternehmen herunterladen
Empfehlungen für Unternehmen
In einem weiteren Fall dokumentierten Forscher von Check Point eine Kampagne, die in den Sommermonaten des Jahres die OAuth-Autorisierung über Microsoft Teams missbrauchte, um Tokens von etwa 120 Unternehmen zu entwenden.
Angesichts dieser Gefährdungslage raten IT-Sicherheitsexperten Unternehmen dringend dazu, ihre Microsoft 365-Konfigurationen zu überprüfen. Eine zentrale Empfehlung lautet, den sogenannten Device-Code-Flow einzuschränken.
Zudem sollten Administratoren ungewöhnliche Anmeldeversuche und Sitzungsaktivitäten automatisiert überwachen, um potenzielle Kompromittierungen frühzeitig zu erkennen. Da die Angreifer zunehmend auf die Manipulation von Sitzungstokens setzen, gewinnt die Überprüfung der Identitätsverwaltung gegenüber rein passwortbasierten Schutzmaßnahmen an Bedeutung.
