BigBear 2.0: ฟิชชิง Microsoft 365 ที่เลี่ยง MFA ได้ — 258 องค์กรโดนจริง
ถ้าที่ทำงานใช้ Outlook / Teams / OneDrive ผ่าน Microsoft 365 ข่าวนี้ไม่ใช่เรื่องของทีมไอทีอย่างเดียวครับ
BleepingComputer รายงานเมื่อ 7 กันยายน 2026 อ้างงานของ CloudSEK ว่าพบบริการฟิชชิงแบบเช่าใช้ (phishing-as-a-service) ชื่อ BigBear 2.0 ที่มุ่ง Microsoft 365 และเลี่ยง multi-factor authentication (MFA) ได้ในหลายร้อยองค์กร
ตัวเลขที่ CloudSEK สรุปไว้ในรายงานที่แชร์กับสื่อ: มีระเบียน credential ประมาณ 5,137 รายการ รวมการยืนยันที่เลี่ยง MFA ได้ครบ 474 ครั้ง รหัสผ่านแบบข้อความธรรมดา 1,032 รายการ และคุกกี้เซสชัน 4,148 รายการ โดยมีอย่างน้อย 258 องค์กรที่มีการยึดเซสชันสำเร็จอย่างน้อยหนึ่งครั้ง
ทำไม MFA ธรรมดาถึงไม่พอในเคสนี้
CloudSEK อธิบายว่า BigBear ใช้โครงแบบ adversary-in-the-middle ที่อิง Evilginx2 เหยื่อยังเห็นหน้าล็อกอินของ Microsoft จริง และยังกดยืนยัน MFA ได้ แต่คนกลางดัก รหัสผ่าน + คุกกี้เซสชัน หลังยืนยันเสร็จ แล้วเอาเซสชันนั้นไปใช้ต่อ
แปลสั้นๆ: คุณพิมพ์รหัสถูก และกด MFA ถูก แต่ถ้าคลิกลิงก์ปลอม เซสชันนั้นอาจหลุดไปกับคนร้ายได้
รายงานยังระบุว่าแพลตฟอร์มนี้มี JavaScript ที่รบกวน FIDO2 / WebAuthn เพื่อดันให้เหยื่อไปใช้วิธียืนยันที่อ่อนแอกว่า และใช้พร็อกซีที่จับคู่ประเทศเหยื่อเพื่อลดโอกาสที่ระบบตรวจจับตำแหน่งแปลก
สิ่งที่คนทั่วไปควรทำวันนี้
- อย่าล็อกอิน Microsoft จากลิงก์ในอีเมล พิมพ์
office.comหรือเปิดแอปเอง แล้วไปที่กล่องจดหมาย - ถ้าสงสัยว่าเคยคลิกลิงก์แปลก: เปลี่ยนรหัสผ่าน แล้วไป Sign out of all sessions / revoke sessions ในบัญชี Microsoft หรือให้แอดมินบังคับรีล็อกอิน
- ถามทีมไอทีว่าองค์กรเปิด passkey / FIDO2 ที่ผูกอุปกรณ์ และ Conditional Access ที่ต้องการเครื่องจัดการแล้วหรือยัง เพราะ CloudSEK แนะนำชัดว่าอย่าพึ่งแค่สัญญาณตำแหน่ง
- ดูอีเมลแจ้ง “มีคนล็อกอินจากที่ใหม่” หรือกฎ inbox ที่เปลี่ยนเองโดยที่คุณไม่ได้ตั้ง
ผมไม่สอนวิธีตั้งค่าฟิชชิงหรือทำซ้ำการโจมตีในบทความนี้ มีแต่ฝั่งป้องกันที่ทำได้ทันที
Recap
- BigBear 2.0 เป็น PhaaS ที่เลี่ยง MFA ของ Microsoft 365 ด้วยการดักเซสชัน ตาม CloudSEK / BleepingComputer (7 ก.ย. 2026)
- กระทบอย่างน้อย 258 องค์กร และมีเซสชัน/รหัสผ่านหลุดหลายพันรายการ
- อย่าล็อกอินจากลิงก์อีเมล รีเซสชันถ้าสงสัย และผลักดัน passkey ที่ต้านฟิชชิง
- ที่มาหลัก: BleepingComputer อ้าง CloudSEK และ advisory ที่สรุปแคมเปญเดียวกัน