BigBear 2.0 通过禁用硬件安全密钥攻陷 258 家 Microsoft 365 组织

CloudSEK 9 月 7 日发布的报告显示，钓鱼即服务平台 BigBear 2.0 通过在代理登录页注入 JavaScript 将浏览器 PublicKeyCredential API 置为 undefined，使已注册 FIDO2 硬件密钥的用户无法使用密钥，被迫回落到短信验证码、一次性口令或推送通知，代理再实时截获认证后的会话 Cookie。