Microsoft ostrzega podróżnych. Hotelowe Wi-Fi może prowadzić prosto w ręce hakerów

Hotelowe Wi-Fi to wygodny sposób na szybkie podłączenie laptopa do internetu podczas podróży, jednak nigdy nie powinno być traktowane jako bezpieczne. Microsoft właśnie wysłał jednak komunikat, którego nie powinien ignorować żaden użytkownik Windowsa korzystający z publicznych sieci.

Firma ostrzega przed kampanią cybernetyczną przypisywaną rosyjskiej grupie Storm-2945. Atakujący mają wykorzystywać przejętą infrastrukturę sieci gościnnych, między innymi w hotelach, aby wyświetlać użytkownikom fałszywe strony logowania, komunikaty bezpieczeństwa oraz wezwania do instalowania rzekomych aktualizacji.

Najbardziej niepokojące jest miejsce, w którym pojawia się oszustwo. Ofiara nie musi wcześniej kliknąć podejrzanego e-maila ani wejść na nieznaną stronę. Pułapka może pojawić się chwilę po podłączeniu komputera do legalnej hotelowej sieci Wi-Fi. Microsoft nazwał wykrytą kampanię CaptiveCrunch i twierdzi, że jej aktywność trwa co najmniej od początku maja 2026 roku.

Hotelowa sieć może wyglądać zupełnie normalnie

Atak wykorzystuje jeden z najbardziej charakterystycznych elementów hotelowego internetu. Po połączeniu z siecią Wi-Fi gość jest zwykle automatycznie przekierowywany do strony, na której akceptuje regulamin, wpisuje numer pokoju, adres e-mail albo inne dane potrzebne do uzyskania dostępu do internetu. Taki mechanizm nosi nazwę captive portal.

Dla użytkownika jest to rutynowa czynność. Właśnie dlatego fałszywy komunikat wyświetlony w tym momencie może wyglądać wyjątkowo wiarygodnie. Jeśli infrastruktura odpowiedzialna za portal została przejęta, cyberprzestępcy mogą kontrolować treści pojawiające się przed użytkownikiem.

Microsoft ostrzega, że zaatakowane sieci gościnne mogą być wykorzystywane do dystrybucji złośliwego oprogramowania oraz kradzieży danych uwierzytelniających. Firma zaleca organizacjom przyjęcie założenia, że publiczna infrastruktura sieciowa, w tym ta wykorzystywana przez hotele, nie jest środowiskiem zaufanym.

„Organizacje powinny zakładać, że infrastruktura sieciowa w sektorze publicznym i hotelarskim może nie być godna zaufania” – ostrzegł Microsoft.

Nie trzeba kraść hasła

Jednym z ciekawszych elementów kampanii jest sposób przejmowania kont Microsoft. Napastnik może rozpocząć prawdziwy proces logowania i przekazać użytkownikowi kod urządzenia. Ofiara widzi ekran przypominający legalną procedurę uwierzytelniania i może uznać, że wykonuje standardową czynność wymaganą przez Microsoft.

Jeżeli użytkownik zaakceptuje żądanie, napastnik może otrzymać prawidłowe tokeny uwierzytelniające.

W takim scenariuszu przestępca nie musi znać hasła ofiary. Nie musi też w klasyczny sposób omijać wieloskładnikowego uwierzytelniania. Wykorzystuje prawidłowy proces logowania i nakłania użytkownika do zatwierdzenia operacji.

To jeden z powodów, dla których samo posiadanie dodatkowego składnika uwierzytelniania nie gwarantuje bezpieczeństwa. Jeśli człowiek zatwierdzi operację rozpoczętą przez napastnika, mechanizm ochronny może zostać wykorzystany przeciwko niemu.

Hakerzy podsuwają nawet „aktualizację Windowsa”

Kampania nie ogranicza się do przejmowania kont. Microsoft twierdzi, że infrastruktura wykorzystywana przez atakujących może służyć również do dostarczania złośliwego oprogramowania. Jedna z metod polega na prezentowaniu użytkownikowi komunikatu sugerującego konieczność wykonania aktualizacji.

Taki komunikat w hotelowym Wi-Fi może wyglądać przekonująco. Użytkownik korzystający z laptopa w podróży może zobaczyć informację o wymaganej aktualizacji, kliknąć przycisk i uruchomić plik pobrany z infrastruktury kontrolowanej przez napastników.

Microsoft zidentyfikował w tej kampanii trojana dla Windowsa o nazwie CornFlake. Nie jest to zwykły program wyświetlający reklamy. To zdalny trojan dostępowy zaprojektowany do przejmowania danych i zapewnienia atakującemu kontroli nad zainfekowanym komputerem.

CornFlake może szpiegować użytkownika

Zakres możliwości CornFlake jest szeroki. Trojan może kraść dane uwierzytelniające i tokeny sesji, rejestrować naciskane klawisze, pobierać pliki oraz wykonywać zrzuty ekranu. Microsoft wskazuje również na możliwość wykorzystania mikrofonu i kamery urządzenia. Napastnik może dzięki temu uzyskać dodatkowe informacje o użytkowniku i jego otoczeniu.

Z punktu widzenia osoby podróżującej służbowo taki scenariusz jest szczególnie niebezpieczny. Laptop może zawierać dokumenty firmowe, dane klientów, zapisane sesje usług internetowych oraz dostęp do wewnętrznych systemów przedsiębiorstwa. Jedno niepozorne okno pokazane podczas łączenia z hotelowym Wi-Fi może więc prowadzić do znacznie poważniejszego incydentu.

Microsoft widzi także zagrożenie dla Androida

Nie tylko komputery z Windowsem mogą być celem kampanii. Microsoft twierdzi, że znalazł przesłanki wskazujące na zainteresowanie atakujących urządzeniami z Androidem. W materiałach związanych z kampanią pojawiały się instrukcje dotyczące pobierania i instalowania plików APK.

Atakujący mogą również wykorzystywać techniki podobne do ClickFix. W tego typu oszustwach użytkownik jest przekonywany, że musi wykonać określoną czynność na swoim urządzeniu, aby naprawić problem, potwierdzić dostęp albo zakończyć proces weryfikacji. Zamiast rozwiązać problem, sam wykonuje czynności przygotowane przez napastnika.

To nie jest nowa sztuczka, ale miejsce ataku jest wyjątkowo dobre

Badacze bezpieczeństwa od pewnego czasu obserwują ataki wykorzystujące przejęte bramy Wi-Fi. W lipcu podobne zagrożenie opisała firma ReliaQuest, wskazując na możliwość kierowania użytkowników Microsoft 365 na fałszywe strony logowania za pośrednictwem przejętej infrastruktury sieciowej.

W tym przypadku napastnik nie musi zaczynać od wiadomości phishingowej wysłanej na skrzynkę pocztową, a ofiara sama przychodzi. Wystarczy, że zamelduje się w hotelu, uruchomi laptopa, wybierze sieć Wi-Fi i rozpocznie proces uzyskiwania dostępu do internetu. Jeśli infrastruktura sieciowa została wcześniej przejęta, przestępca może próbować wykorzystać moment, w którym użytkownik spodziewa się komunikatów związanych z logowaniem, bezpieczeństwem lub konfiguracją połączenia.

Microsoft ostrzega przed sieciami w hotelach i na lotniskach

Firma zaleca podróżnym traktowanie sieci hotelowych, konferencyjnych, lotniskowych oraz innych publicznych sieci gościnnych jako niezaufanych. Microsoft rekomenduje korzystanie z połączeń komórkowych i prywatnych hotspotów, szczególnie podczas wykonywania czynności związanych z firmowymi kontami.

Istotne jest również unikanie instalowania aktualizacji oprogramowania za pośrednictwem przypadkowych komunikatów wyświetlanych przez portal Wi-Fi. Aktualizacje systemu powinny pochodzić z mechanizmów wbudowanych w system operacyjny albo z oficjalnych stron producenta.

W przypadku kont Microsoft firma zaleca także stosowanie mechanizmów uwierzytelniania odpornych na phishing oraz odpowiednią konfigurację dostępu warunkowego.

Microsoft sugeruje również ograniczenie logowania przy użyciu kodów urządzenia tam, gdzie taki mechanizm nie jest potrzebny.

Sztuczna inteligencja pomaga również napastnikom

W komunikacie Microsoftu pojawia się jeszcze jeden interesujący element. Firma twierdzi, że Storm-2945 wykorzystywał sztuczną inteligencję podczas prowadzenia kampanii. Microsoft Threat Intelligence podziękował przy okazji firmom Anthropic i OpenAI za współpracę przy dochodzeniu.

Nie oznacza to, że sztuczna inteligencja samodzielnie przeprowadziła atak. Według informacji Microsoftu narzędzia AI były wykorzystywane jako element działań cyberprzestępców.

Bezpieczne hotelowe Wi-Fi? Nie ma takiego

Najważniejszy wniosek z ostrzeżenia Microsoftu jest prosty: fakt, że sieć Wi-Fi należy do renomowanego hotelu, nie jest gwarancją bezpieczeństwa.

Użytkownik może połączyć się z właściwym SSID, zobaczyć znajomy ekran logowania i nadal trafić na infrastrukturę, która została przejęta przez cyberprzestępców.

Dlatego laptop używany podczas podróży powinien być traktowany inaczej niż urządzenie korzystające z domowej sieci. Szczególnie ostrożnie trzeba podchodzić do komunikatów proszących o podanie danych logowania, zatwierdzenie nietypowego żądania albo instalację programu.

Jeżeli hotelowe Wi-Fi nagle informuje o konieczności pobrania „aktualizacji Windowsa”, rozsądniej zamknąć okno niż sprawdzać, co znajduje się pod przyciskiem instalacji.