Microsoft официално приписа глобална кампания от атаки през хотелски Wi-Fi на Midnight Blizzard, руския свързан с държавата заплахов актьор, известен още като APT29. Приписването потвърждава онова, което изследователи по сигурността подозираха от седмици: хотелиерските мрежи, използвани от бизнес пътници, дипломати и ръководители, са се превърнали в умишлена входна точка за нападатели, търсещи достъп до акаунти в Microsoft 365.

Кампанията вече бе документирана в собствените съвети на Microsoft и отразена в по-ранни репортажи за това как руски хакери превземат хотелски Wi-Fi, за да крадат M365 токени. Новото тук е официалната връзка с Midnight Blizzard – група с дълга история на шпионски прониквания срещу правителствени агенции, мозъчни тръстове и корпоративни цели. Свързването на дейността с известен, добре ресурсно осигурен актьор променя колко сериозно организациите трябва да приемат риска и повдига нови въпроси за това доколко изобщо може да се вярва на публична мрежа.

Как работят атаките през хотелски Wi-Fi

В центъра на тази кампания стои проста, но ефективна идея: вместо да атакуваш домашната или офис мрежата на мишената, компрометираш споделената Wi-Fi инфраструктура, към която пътниците се свързват без да се замислят. Хотелските и конферентните мрежи обикновено се управляват от трети страни, рядко се наблюдават отблизо и се използват точно от типа високостойностни мишени – ръководители, служители, журналисти – които държавно свързана група като Midnight Blizzard иска да достигне.

Според заключенията на Microsoft, нападателите са използвали специално създаден малуер, за да прихващат сесии и да насочват пътниците към фалшиви потоци за вход в Microsoft 365, като в крайна сметка събират токени за удостоверяване и идентификационни данни. Тъй като Microsoft 365 стои в центъра на имейла, файловото съхранение и единичното вписване за толкова много организации, един компрометиран акаунт може да отвори вратата към много по-широк набор от вътрешни системи. Това е същият основен механизъм, описан в репортажите за това как Microsoft предупреждава за руски хакери в хотелски Wi-Fi мрежи, и подчертава защо хотелиерският сектор се е превърнал в толкова привлекателна изходна база за кражба на идентификационни данни.

Защо приписването към APT29 има значение

Екипите по сигурност често правят разлика между опортюнистична киберпрестъпност и целеви, спонсориран от държавата шпионаж, и това разграничение оформя как се изгражда защитата. Midnight Blizzard, проследявана също като APT29 и широко смятана, че действа с подкрепата на руското разузнаване, не е операция от типа „удари и бягай“. Исторически тази група дава приоритет на дългосрочния достъп, тихото присъствие и разузнавателната стойност пред бързите финансови облаги.

Този контекст е от значение за всеки, който преценява дали атаките през хотелски Wi-Fi са от значение за него. Ако вашата организация работи с чувствителни комуникации, изпълнява държавни договори, оперира в сферата на отбраната, политиката, енергетиката или журналистиката, или просто има ръководители, които пътуват международно, тази кампания е пряко напомняне, че публичните и полу-публичните мрежи са активно бойно поле, а не пасивно удобство. По-широката картина на атаки срещу пътници, наред с други актуални заплахи, беше отбелязана и в скорошен обзор, обхващащ атаки през хотелски Wi-Fi и zero-day в Zimbra, който отбеляза колко често инфраструктурата, свързана с пътувания, се появява редом с други големи уязвимости в седмичните обобщения на заплахите.

Какво означава това за вас

Ако пътувате по работа и се свързвате с хотелски или конферентен Wi-Fi, тази кампания е сигнал да промените навиците си сега, а не след инцидент. Рискът не е ограничен до очевидно подозрителни мрежи; цялата предпоставка на тази атака е, че обикновеният, очакван хотелски Wi-Fi може тихо да бъде компрометиран без видими предупредителни знаци. Собствените насоки на Microsoft, повторени в множество доклади за тази кампания, са да се третират хотелският и конферентният Wi-Fi като ненадеждни по подразбиране и да се предпочитат частни мобилни данни или управлявани, одобрени от организацията връзки, когато се работи с нещо, свързано с работни акаунти.

За ИТ и екипите по сигурност това също е добър момент да преразгледат как е защитено удостоверяването за Microsoft 365. Многофакторното удостоверяване помага, но техниките за кражба на токени понякога могат да заобиколят MFA, ако самите сесийни токени бъдат прихванати. Политиките за условен достъп, проверките за съответствие на устройствата и наблюдението за вписвания от неочаквани места или устройства добавят значително триене срещу този вид атака. Същият урок – че атаките, базирани на идентификационни данни и портали, се мащабират бързо сред големи потребителски групи – се прояви и в други скорошни инциденти, включително разкритието, описано в репортажа за пробива в Hartford HUSKY Medicaid, където достъпът до портала сам по себе си стана точката на отказ.

Практически изводи

Третирайте хотелския, летищния и конферентния Wi-Fi като ненадеждни мрежи, независимо колко официално изглежда порталът за вход. Когато е възможно, използвайте лична или служебна мобилна точка за достъп вместо споделен Wi-Fi за всичко, свързано с работни акаунти. Уверете се, че многофакторното удостоверяване е активирано за всички акаунти в Microsoft 365, и попитайте вашия ИТ екип дали са налице политики за условен достъп, които да маркират вписвания от непознати устройства или места. Накрая, ако вие или вашата организация имате основание да смятате, че сте по-високостойностна мишена – поради вашия бранш, роля или достъп до чувствителни данни – вградете осведомеността за сигурност при пътуване в рутинните обучения, вместо да я третирате като допълнителна мисъл. Кампанията с хотелския Wi-Fi на Midnight Blizzard е ясна демонстрация, че най-слабото звено във веригата на сигурността не винаги е вътре в офис мрежата; понякога това е паролата за Wi-Fi, отпечатана върху ключ-картата на хотелската стая.