Enligt säkerhetsföretaget CloudSEK har operationen kopplats till över 5 000 stulna Microsoft 365-inloggningar och fler än 4 000 kapade sessioner hos organisationer i över 40 länder. Samtidigt säljs infrastrukturen som en färdig tjänst där flera olika grupper hyr in sig och genomför egna nätfiskekampanjer. För mig är det kanske den viktigaste delen av historien.

Kontokapning har blivit en tjänst.

Nätfiske som prenumeration

CloudSEK fick under sommaren tillgång till operationens administrationspanel och har sedan dess kunnat följa den inifrån. Det som växer fram liknar mindre bilden av en ensam hackare och mer ett modernt SaaS-bolag.

En aktör utvecklar och driver plattformen. Minst fem andra grupper hyr in sig och använder den för sina egna kampanjer, med notiser i realtid via Telegram varje gång ett offer loggar in. De 42 servrarna hyrs som vanliga virtuella maskiner, certifikat utfärdas automatiskt och de falska webbplatserna får samma hänglås i webbläsaren som användarna förväntar sig att se.

Det jag fastnade för mest är egentligen inte den tekniska lösningen utan hur låg tröskeln har blivit. Den som vill angripa Microsoft 365-konton behöver inte längre bygga verktygen själv, förstå protokollen eller underhålla infrastrukturen. Det räcker att hyra en färdig plattform och följa instruktionerna.

Några siffror från operationen

5 137

stulna inloggningar i operatörens panel

4 148

kapade sessioner där MFA redan hade godkänts

461

drabbade organisationer i över 40 länder

258

organisationer där MFA bevisligen kringgicks

Källor: CloudSEK, "Tracking BigBear 2.0 Evilginx2 Phishing Campaign", uppdaterad analys september 2026. Rapporterat av The Register, BleepingComputer och Infosecurity Magazine den 8 september 2026. Se källförteckningen längst ned.

Det här är inte en teoretisk attackmodell. Det är en verksamhet som redan fungerar i stor skala.

Så går attacken till

Det som gör den här typen av nätfiske så effektiv är att användaren i praktiken gör allting rätt.

Så känns det inifrån

Ett mejl innehåller en länk till ett dokument, en faktura eller en begäran om inloggning. Användaren klickar och möts av det som ser ut att vara Microsofts inloggningssida.

Lösenordet anges. Autentiseringsappen plingar till. MFA godkänns. Allt ser normalt ut.

Problemet är att sidan egentligen fungerar som en mellanhand mellan användaren och Microsoft. Verktyget bakom, Evilginx2, skickar vidare allt användaren gör i realtid. Lösenordet är korrekt, MFA-godkännandet är äkta och Microsoft ser en legitim inloggning. Men samtidigt sparar mellanhanden den sessionskaka som Microsoft skickar tillbaka när autentiseringen är klar.

Det är den som blir nyckeln.

Med den kan angriparen öppna kontot från sin egen dator utan att behöva lösenordet och utan att behöva godkänna MFA igen. Ur Microsofts perspektiv ser det bara ut som att en redan inloggad användare fortsätter arbeta.

Den viktigaste lärdomen

Det viktigaste

Angriparna knäcker inte MFA. De låter användaren genomföra en helt korrekt inloggning och tar sedan över resultatet.

Av de 5 137 posterna som identifierades innehöll 4 148 en färdig sessionskaka. I 474 fall hade angriparna dessutom redan verifierat att de kunde använda den för att komma åt kontot.

Det är därför jag tycker att diskussionen kring MFA ibland hamnar fel. Frågan är inte längre bara om MFA finns. Frågan är vilken MFA som används.

Detaljen som säger mest: passkeys

Det finns en detalj i rapporten som jag tycker säger mer än alla siffror tillsammans. De falska inloggningssidorna innehåller kod som aktivt döljer möjligheten att logga in med passkey eller säkerhetsnyckel.

Varför? För att angriparna vet att passkeys är betydligt svårare att nätfiska. En passkey är knuten till den riktiga webbplatsen. Om användaren befinner sig på fel adress svarar den helt enkelt inte, oavsett hur övertygande sidan ser ut. Det går inte att lura den på samma sätt som ett lösenord eller ett vanligt MFA-godkännande.

När till och med angriparna försöker få användare att välja bort passkeys är det ett ganska tydligt kvitto på vilken metod de själva helst vill slippa möta. För mig är det ett av de starkaste argumenten hittills för phishing-resistent MFA.

En detalj till i samma anda. Operationen skickar angriparens trafik genom vanliga hemuppkopplingar i 69 länder, så att inloggningen med den stulna sessionen ser ut att komma från samma land som offret. Ett larm för "inloggning från ovanlig plats" slår då inte till.

Vad jag hade tittat på först

Man behöver inte vara ett storbolag för att hamna i den här typen av kampanjer. Tvärtom är de byggda för att träffa så brett som möjligt. Om jag ansvarade för en Microsoft 365-miljö hade jag börjat med följande:

1

Ta reda på vilka MFA-metoder som faktiskt används

Att säga att "alla har MFA" säger väldigt lite. Det viktiga är att veta vilka metoder användarna faktiskt har registrerade och använder i praktiken, särskilt inom ekonomi, ledning och administration.

2

Inför passkeys eller säkerhetsnycklar där det spelar störst roll

Administratörer, ekonomifunktioner och ledningskonton är ofta de mest attraktiva målen. Där hade jag prioriterat phishing-resistent MFA och samtidigt tagit bort svagare reservmetoder när det är möjligt.

3

Kräv hanterade enheter

En stulen session är betydligt mindre värd om kontot bara får användas från en enhet som organisationen känner igen. Villkorsstyrd åtkomst med krav på kompatibel eller hanterad enhet ingår i Business Premium och är enligt mig en av de mest underskattade skyddsåtgärderna i Microsoft 365.

4

Återkalla sessioner vid misstanke

Om en sessionskaka redan har stulits hjälper det inte alltid att bara byta lösenord. Då behöver de aktiva sessionerna återkallas och kontot granskas innan man kan vara säker på att angriparen är ute.

Var kommer PIANOLA in?

PIANOLA är inte byggt för att stoppa det ursprungliga nätfiskemejlet. Det vi fokuserar på är skydden runt kontot och identiteten.

  • Vilka MFA-metoder används egentligen?
  • Har kritiska användare phishing-resistent MFA?
  • Finns det krav på hanterade enheter?
  • Har nya MFA-metoder, inkorgsregler eller andra förändringar lagts till utan att någon reagerat?

Det är frågor som går att besvara med fakta ur Microsoft 365-miljön. Vår ambition är inte att säga att "allt ser bra ut", utan att visa exakt vad som är på plats, vad som saknas och vad som är mest angeläget att prioritera. PIANOLA är rådgivande. Vi gör aldrig förändringar i er miljö utan ert godkännande.

Det jag tar med mig

Kontokapning i Microsoft 365 går idag att köpa som en tjänst, komplett med drift, support och notiser i realtid. Det gör att fler aktörer kan genomföra avancerade attacker utan att själva vara särskilt tekniskt kunniga.

Samtidigt finns det en detalj som sticker ut. Det enda angriparna inte lyckades komma runt var passkeys. Så pass mycket att de valde att gömma alternativet för användarna. Det tycker jag säger en hel del.

Kanske är det dags att gå från frågan "Har vi MFA?" till den betydligt viktigare: "Vet vi vilken MFA vi har? Står den emot dagens nätfiskeattacker?" Det är en skillnad som blir allt viktigare för varje år som går.

Vet ni vilka MFA-metoder era användare faktiskt loggar in med idag?

PIANOLA går igenom skydden i er Microsoft 365 och visar i klartext vad som är på plats, vad som saknas och vad som är värt att ta tag i först. Vill ni ha en löpande bild av miljön, eller börja med en genomlysning, hör av er. Vi rör inget förrän ni godkänt det.

Se vad vi hittar hos er Se PIANOLA-abonnemanget

Källor