BigBear 2.0钓鱼即服务绕过MFA：258家组织超5000组Microsoft 365凭据与会话Cookie被窃

技术关键在于绕过而非破解MFA。平台在受害者完成多因素挑战后截获会话Cookie，攻击者在自己设备上重放该已认证会话即可登录，无需再次触发第二因素——MFA保护的是认证瞬间，不保护认证之后的会话。

为提升成功率，该服务采用两类对抗手段：一是覆盖69个国家的地理匹配住宅代理，使登录来源看起来与受害者常用位置一致；二是注入自定义JavaScript，在登录页面禁用FIDO2/WebAuthn等抗钓鱼强认证选项，迫使目标退回到可被中继的弱认证方式。

这解释了近期多起MFA已启用仍失陷的案例。防御应转向会话层：缩短会话与刷新令牌有效期、绑定设备合规状态的条件访问策略、对令牌重放与不可能旅行实施检测，以及优先部署FIDO2/WebAuthn等抗钓鱼凭据并防止其被前端降级。

数据合规层面的含义是：凭据与会话Cookie失窃直接导致个人信息与业务数据被未授权访问，构成需要评估与通报的数据安全事件。组织在做风险评估时，应将“MFA已启用”从控制有效性的结论降级为单点事实，并把会话劫持场景纳入应急预案与通知触发条件。