CloudSEK dévoile BigBear 2.0, un hameçonnage qui contourne la double authentification de Microsoft 365
La société CloudSEK publie une enquête sur BigBear 2.0, un service d’hameçonnage loué à des cybercriminels, qui cible Microsoft 365. Il intercepte le mot de passe et la session ouverte, ce qui lui permet de passer outre la double authentification classique.
Pour les pros
Pour les professionnels
Le contexte
Selon CloudSEK, son équipe a découvert BigBear 2.0 en juin 2026 : un service d’hameçonnage « en tant que service » fondé sur Evilginx2, un outil de relais « adversary-in-the-middle » (AiTM). Selon l’éditeur, qui dit avoir obtenu l’accès au panneau d’administration, l’opération a touché des organisations dans plus de 40 pays et restait active au moment de la rédaction.
Ce qui s'est passé, jour après jour
CloudSEK publie son enquête : 5 137 enregistrements volés, dont 474 authentifications complètes à double facteur contournées, d’après le panneau.
BleepingComputer relaie l’enquête : 258 organisations auraient subi au moins un contournement abouti, sur 461 visées.
Selon BleepingComputer, CloudSEK dit avoir alerté les forces de l’ordre et plusieurs organisations touchées ; le panneau d’administration restait en ligne.
Qui est concerné
- CloudSEK
- Microsoft
- BleepingComputer
- Evilginx2
À faire, dans l'ordre
Réinitialiser les mots de passe exposés, révoquer les sessions actives et les jetons d’actualisation, puis forcer une nouvelle authentification des comptes à privilèges.
Privilégier une authentification résistante à l’hameçonnage (clés FIDO2/WebAuthn, passkeys) plutôt que les codes à usage unique ou les notifications.
Dans Entra ID, exiger par accès conditionnel des appareils gérés, sans se fier à la seule géolocalisation, que ce service sait imiter.
Surveiller les connexions inhabituelles et les règles de transfert créées dans les messageries Microsoft 365.
Apprendre aux équipes à ne pas ouvrir la connexion depuis un lien de courriel.
En clair
Pour tout le monde
Des escrocs louent un service qui fabrique de fausses pages de connexion Microsoft 365. La page se glisse entre vous et le vrai site : vous tapez votre mot de passe, puis le code de la double authentification, et l’attaquant récupère la « clé » de la session ouverte, qui lui suffit ensuite pour entrer dans votre messagerie et vos fichiers. Le geste utile : ne vous connectez jamais depuis un lien reçu par courriel, passez par vos favoris, et demandez à votre service informatique des clés de sécurité physiques ou des passkeys.
Ce que ça change dans le Pacifique
Nouvelle-Calédonie, Polynésie française, Wallis-et-Futuna
Aucun lien avec le Pacifique n’est établi à ce jour : les pays cités par CloudSEK comme les plus touchés sont l’Inde, la France, l’Arabie saoudite, la Nouvelle-Zélande et l’Allemagne. Microsoft 365 étant très répandu, entreprises et administrations des trois territoires peuvent être visées par ce type de piège. Conseil général : clés de sécurité ou passkeys pour les comptes sensibles, et connexion par favori plutôt que par lien.
Réseau de sources
Qui a relevé l’alerte, et quelles autorités la documentent.
- BleepingComputer, BigBear Microsoft 365 phishing service bypassed MFA at 258 organizations
- Enquête de CloudSEK
Sources (2)
- Relevé parRelevéBleepingComputer, BigBear Microsoft 365 phishing service bypassed MFA at 258 organizations (site externe, nouvel onglet)bleepingcomputer.com
- Enquête de CloudSEKAutoritéCloudSEK, Tracking BigBear 2.0 Evilginx2 Phishing Campaign (site externe, nouvel onglet)cloudsek.com