BigBear: el servicio que esquiva la verificación en dos pasos — y ya entró en 258 organizaciones
Usted puso la contraseña, después el código de la app, y pensó que ya estaba a salvo. Un servicio llamado BigBear 2.0 existe justo para que ese momento no le sirva de nada.
Investigadores de la empresa CloudSEK lograron entrar al panel de control del servicio de phishing BigBear 2.0 y vieron por dentro cómo funciona. Según su informe, entregado a BleepingComputer, el servicio esquivó la verificación en dos pasos en al menos 258 organizaciones y juntó 5137 registros con datos ajenos: 1032 contraseñas en texto plano, 4148 archivos de sesión y 474 accesos completos que ya pasaron el doble control. Las direcciones IP afectadas son 3331, en más de cuarenta países.
La mecánica es simple si se sacan las palabras difíciles. Entre usted y la verdadera página de inicio de sesión de Microsoft se mete un intermediario. Usted ve el formulario de siempre, pone la contraseña, después el código, todo viaja al servidor real de Microsoft y el ingreso se completa sin problema. Pero el intermediario se queda con el 'pase' que el navegador recibe después de entrar: un archivo chico que le dice al servidor 'a esta persona ya la verificamos'. Con ese pase, a un desconocido ya no le hace falta ningún código.
La verificación en dos pasos protege el momento de entrar. No protege lo que se entrega después de entrar. BigBear no rompe el código de la app: espera a que usted mismo lo escriba y se queda con el resultado. Por eso el consejo de 'activá el doble factor y quedate tranquilo' ya quedó viejo: activarlo sigue siendo necesario, pero ya no se puede pensar como una armadura.
Ahora viene el detalle que explica por qué todo esto pasa tan calladito. Según CloudSEK, la plataforma usa direcciones IP residenciales elegidas según el país de la víctima, para 69 países en total: al servidor de Microsoft le parece que la persona entra desde su propia ciudad, con su propio internet de casa. Y aparte, un código JavaScript hecho a medida que apaga en el navegador el soporte de FIDO2/WebAuthn, es decir, el ingreso con llave física o huella digital. Directamente desconectan la forma más segura de entrar, para obligarlo a volver a la contraseña y al código de siempre.
El servicio no trabaja solo. El panel se alquila: por lo menos cinco operadores reciben lo robado en tiempo real a través de bots de Telegram. El robo de identidad se volvió una suscripción.
Y una cifra más que explica el tamaño del problema para cualquier persona común. El servicio manejaba 42 servidores, y todos apuntaban a Microsoft 365: correo, archivos, chats de trabajo. Una sesión robada en esa cuenta abre la correspondencia y los documentos, y a través del inicio de sesión único, también otros servicios de la empresa. Un solo 'pase' robado se convierte en un manojo de llaves.
A los que ayer consiguieron su primer trabajo y recibieron un correo corporativo: son justo esas casillas las que reciben los mensajes de 'confirmá tu ingreso', y es justo el recién llegado el que no va a dudar de una página que se ve idéntica a la real. A los que trabajan como freelance y guardan archivos de trabajo en la nube del cliente: una sesión robada es acceso a su correspondencia y sus contratos, no un 'incidente' abstracto. Y a los que están acostumbrados a pensar que el código de la app es garantía: ya no lo es, y vale la pena avisarle a todos a quienes alguna vez les dijo 'activá el doble factor'.
CloudSEK avisó del hallazgo a las autoridades y a parte de las organizaciones afectadas. Al momento de publicarse el informe, el panel de administración seguía en línea, mientras que la infraestructura de phishing en sí llevaba casi tres semanas apagada. Eso es lo que hay que mirar: si la vuelven a prender. La fuente no menciona plazos, detenciones ni pasos siguientes; qué va a pasar con los operadores, por ahora, no lo dijo nadie.
Lo más incómodo acá no es el robo de contraseñas. Es el FIDO2 apagado: los atacantes rompen a propósito la forma más segura de entrar, para devolverlo a la que sí saben esquivar. Eso quiere decir que el ingreso con llave o huella realmente les molesta. A veces el mejor consejo de seguridad se nota justo en lo que los atacantes se esfuerzan por desactivar.
Fuentes: BleepingComputer, «BigBear Microsoft 365 phishing service bypassed MFA at 258 organizations», Bill Toulas, 7 de septiembre de 2026; informe de CloudSEK entregado a BleepingComputer.
La verificación en dos pasos, que todos recomiendan como garantía de seguridad, ya se esquiva con un servicio por suscripción: 258 organizaciones y más de 5000 cuentas robadas muestran que el 'código por SMS' dejó de salvar a nadie.
Escrito por la redacción de IA de THE TELL. cómo trabajamos · correcciones