Eine neue Wendung eines alten Risikos öffentlicher WLANs

Sicherheitsforscher haben einen Bedrohungsakteur identifiziert, der in öffentliche WLAN-Gateways eindringt – die Hardware hinter Captive-Portalen, die man an Flughäfen, Hotels, Cafés und Konferenzzentren sieht –, um Unternehmens-Anmeldedaten für Microsoft 365 zu stehlen. Anstatt einen gefälschten Hotspot einzurichten oder eine Login-Seite von Grund auf nachzubauen, kompromittiert der Angreifer die legitime Infrastruktur, auf die Unternehmen und Veranstaltungsorte bereits zur Authentifizierung von Gästen angewiesen sind, bevor sie Internetzugang gewähren.

Das ist von Bedeutung, weil Captive-Portale einer der vertrauenswürdigsten und am wenigsten hinterfragten Teile des öffentlichen WLAN-Erlebnisses sind. Millionen von Reisenden klicken sich täglich ohne groß nachzudenken durch diese „AGB akzeptieren und verbinden“-Seiten. Wenn das Gateway selbst übernommen wurde, kann die Seite zum Abgreifen von Anmeldedaten, die ein Nutzer sieht, völlig authentisch wirken, denn in gewisser Weise ist es die echte Infrastruktur – nur für den Datendiebstahl umfunktioniert.

So funktioniert der Angriff

Captive-WLAN-Gateways sind die Geräte, die zwischen einem öffentlichen Netzwerk und dem offenen Internet sitzen und die Nutzer in der Regel auffordern, sich anzumelden, Bedingungen zu akzeptieren oder eine E-Mail-Adresse einzugeben, bevor das Surfen beginnt. Berichten über diese Kampagne zufolge hat der Bedrohungsakteur genau diese Geräte kompromittiert und nutzt sie, um unterwegs die Microsoft-365-Konten von Firmenmitarbeitern ins Visier zu nehmen.

Weil Microsoft 365 das Rückgrat für E-Mail, Dateispeicher und Zusammenarbeit eines großen Teils der Unternehmen weltweit ist, kann ein einziger gestohlener Anmeldedatensatz den Zugang zu Posteingängen, gemeinsam genutzten Dokumenten, interner Kommunikation und – wenn Multi-Faktor-Authentifizierung nicht konsequent durchgesetzt wird – möglicherweise tieferen Netzwerkzugriffen öffnen. Für Angreifer ist es effizient, Geschäftsreisende auf Gateway-Ebene anzugreifen: Statt einzelne Opfer zu verfolgen, kompromittieren sie den Flaschenhals, durch den viele verschiedene Reisende zwangsläufig hindurch müssen.

Dieser Ansatz unterläuft auch einige der üblichen Ratschläge zum Erkennen gefälschter Hotspots. Die Nutzer verbinden sich nicht unbedingt mit einem betrügerischen Netzwerknamen oder einer offensichtlich verdächtigen Seite. Sie nutzen das WLAN, das der Veranstaltungsort tatsächlich bereitstellt – nur wurde es auf Infrastrukturebene gegen sie verwendet.

Warum dies ein Datenschutz- und Sicherheitsproblem für alle ist

Die Auswirkungen gehen über die IT-Abteilung eines einzelnen Unternehmens hinaus. Öffentliches WLAN gilt seit Langem als Schwachstelle für die Privatsphäre, doch diese Kampagne zeigt, wie sich diese Schwäche potenziert, wenn sie Geschäftsreisende trifft, die Zugangsdaten zu Unternehmenssystemen mit sich führen. Ein kompromittierter Microsoft-365-Login ist nicht nur eine Unannehmlichkeit – er kann zu CEO-Betrug (Business Email Compromise), Datenoffenlegung und weiteren Phishing-Kampagnen führen, die aus einem vertrauenswürdigen internen Konto gestartet werden.

Es ist eine nützliche Erinnerung daran, dass die Werkzeuge, auf die Menschen für Privatsphäre und Sicherheit vertrauen, reale, spezifische Grenzen haben. Wie wir in unserer Analyse zu was ein VPN tatsächlich schützt (und was nicht) erläutert haben, verschlüsselt ein VPN Ihren Datenverkehr zwischen Ihrem Gerät und dem VPN-Server, was in öffentlichen WLANs wirklich wertvoll ist. Es hält Sie jedoch nicht davon ab, Ihre echten Anmeldedaten in einen Anmeldebildschirm einzugeben, den ein Captive-Portal selbst bereits kompromittiert hat, bevor Ihre VPN-Verbindung überhaupt zustande kommt. Diese Unterscheidung zu verstehen, ist entscheidend, um diese Tools effektiv zu nutzen, anstatt sie für ein Allheilmittel zu halten.

Bemerkenswert ist auch, dass Datenschutz-Tools wie VPNs zunehmend Teil breiterer politischer Diskussionen sind, einschließlich regulatorischer Prüfungen, wie wir sie in unserem Beitrag zu den vorgeschlagenen VPN-Altersverifikationsregeln des Vereinigten Königreichs erörtert haben. Da diese Tools mehr Aufmerksamkeit von Regulierungsbehörden erhalten, wird es für alltägliche Nutzer und Unternehmen gleichermaßen wichtiger, genau zu verstehen, wogegen sie schützen und wogegen nicht.

Was das für Sie bedeutet

Wenn Sie oder Ihre Mitarbeiter geschäftlich reisen und routinemäßig öffentliches WLAN an Flughäfen, in Hotels oder Konferenzzentren nutzen, ist diese Kampagne ein Signal, die Gewohnheiten zu verschärfen, wie außerhalb des Büros auf Firmenkonten zugegriffen wird. Es bedeutet nicht, dass öffentliches WLAN gänzlich gemieden werden muss, aber es bedeutet, dass der Anmeldezeitpunkt – der Captive-Portal-Bildschirm – mehr Aufmerksamkeit verdient, als die meisten ihm schenken.

Für IT- und Sicherheitsteams ist dies ein starkes Argument, um Multi-Faktor-Authentifizierung für alle Microsoft-365-Konten ausnahmslos durchzusetzen, da MFA die Auswirkungen abmildern kann, selbst wenn ein Passwort gestohlen wird. Es ist auch ein Grund, die Nutzung eines mobilen Hotspots oder einer vertrauenswürdigen VPN-Verbindung in Betracht zu ziehen, die hergestellt wird, bevor eine sensible Anmeldung erfolgt, anstatt sich auf das Netzwerk zu verlassen, das ein Veranstaltungsort standardmäßig bereitstellt.

Praktische Handlungsempfehlungen

  • Aktivieren Sie Multi-Faktor-Authentifizierung für alle Microsoft-365- und anderen Geschäftskonten, damit ein gestohlenes Passwort allein keinen Zugriff gewährt.
  • Melden Sie sich nicht unmittelbar nach der Verbindung mit einem öffentlichen WLAN-Captive-Portal bei Firmenkonten an; nutzen Sie stattdessen nach Möglichkeit einen mobilen Hotspot oder verbinden Sie sich zuerst über ein VPN.
  • Behandeln Sie Anmeldeseiten von Captive-Portalen mit derselben Vorsicht wie jede unbekannte Anmeldeseite und geben Sie niemals mehr Informationen preis, als ein Netzwerk tatsächlich für den Zugang benötigt.
  • Ermutigen Sie reisende Mitarbeiter, alles Ungewöhnliche bei der WLAN-Anmeldung – etwa unerwartete Abfragen von Zugangsdaten – dem IT- oder Sicherheitsteam zu melden.
  • Denken Sie daran, dass ein VPN auf öffentlichen WLANs eine wertvolle Schutzschicht ist, aber kein Ersatz für Vorsicht beim Anmeldevorgang; nur wenn Sie den tatsächlichen Schutzumfang verstehen, können Sie es richtig einsetzen.

Da Bedrohungsakteure ständig neue Wege finden, die Infrastruktur auszunutzen, der Reisende bereits vertrauen, ist es eine der wirksamsten verfügbaren Verteidigungen, darüber informiert zu bleiben, wie diese Angriffe tatsächlich funktionieren, anstatt sich auf veraltete Annahmen über WLAN-Risiken zu verlassen.