Mariana Costa 
Microsoft 365 — uma operação de phishing chamada BigBear 2.0 vem demonstrando que completar a autenticação multifator (MFA) não garante, por si só, que uma sessão permaneça segura. A tática central é interceptar cookies de sessão emitidos após a autenticação e reutilizá‑los para acessar contas já autenticadas, transformando a sessão em alvo direto.
Como o BigBear 2.0 contorna o MFA e captura sessões
BigBear 2.0 usa a infraestrutura Evilginx2, um proxy reverso controlado pelo atacante que se coloca entre o usuário e o serviço legítimo de login. O usuário faz o login e completa o MFA normalmente, enquanto o sistema malicioso intercepta o cookie de sessão que a Microsoft emite.
Com o cookie em mãos, o invasor pode rejeitar a etapa de autenticação subsequente e reutilizar a sessão já validada. A operação ainda emprega proxies residenciais alinhados ao país da vítima, o que torna o tráfego malicioso mais parecido com o comportamento geográfico esperado e pode contornar verificações de localização em políticas de Conditional Access.
“O que o BigBear 2.0 muda é acessibilidade e escala: ele empacota phishing AiTM, proxies residenciais e replay automático de cookies em um serviço que reduz o nível técnico necessário para executar esses ataques.” — Akshat Tyagi, associate practice leader na HFS Research.
Alvos, escala e orientações de resposta
O painel administrativo da operação continha 5.137 registros de credenciais vinculados a 461 organizações em mais de 40 países, incluindo 4.148 cookies de sessão capturados e 1.032 senhas em texto plano. Desses registros, 474 mostraram logins completados nos quais a sessão autenticada foi roubada.
Sistemas de TI e provedores de serviços gerenciados representam 151 das organizações identificadas, o que eleva o risco: acessos privilegiados em um MSP podem abrir portas a ambientes de clientes e sistemas administrativos.
Especialistas recomendam tratar cookies e tokens de acesso como material crítico de autenticação, não apenas como artefatos técnicos. Medidas apontadas incluem forçar reauntenticação, revogar sessões e refresh tokens do Entra, e inspecionar logs em busca de acesso a caixas de correio, regras de encaminhamento suspeitas, consentimentos OAuth incomuns e dispositivos MFA recém-registrados.
Além disso, a campanha mostrou código personalizado que tenta desabilitar FIDO2/WebAuthn nas páginas de phishing, empurrando usuários para métodos mais vulneráveis. Por isso, impor autenticação resistente a phishing — como FIDO2/WebAuthn, Windows Hello for Business ou autenticação baseada em certificados — e aplicá‑la via Conditional Access é vital.
O que você acha? Você acredita que sua empresa está pronta para lidar com um comprometimento de sessão como este? Para acompanhar mais, acesse nossa editoria.
Perguntas Frequentes
O que é a campanha BigBear 2.0 e como ela ataca contas do Microsoft 365?
BigBear 2.0 é uma operação de phishing baseada em Evilginx2 que intercepta cookies de sessão do Microsoft 365; em junho ela deixou no painel 4.148 cookies capturados e 1.032 senhas em texto plano, permitindo que invasores reutilizem sessões autenticadas sem precisar refazer o MFA.
Quantas organizações e quais setores foram afetados pela campanha BigBear 2.0?
BigBear 2.0 atingiu 461 organizações em mais de 40 países, conforme registros do painel administrativo; entre os alvos, 151 eram empresas de serviços de TI e provedores gerenciados, um setor especialmente sensível por conta de acessos privilegiados a ambientes de clientes.
O que as empresas devem fazer se detectarem um login comprometido no Microsoft 365?
Microsoft 365 compromissado deve ser tratado como “comprometimento de sessão”: revogue Entra sign‑in sessions e refresh tokens, force reautenticação, isole ou desative a conta afetada e analise logs para mailbox access, regras maliciosas, consentimentos OAuth, dispositivos MFA recém-registrados e mudanças de privilégio.
