Microsoft hat offengelegt, dass mit dem russischen Staat verbundene Hacker Hotel-WLAN-Portale gekapert haben, um Malware zu verbreiten und Microsoft 365-Authentifizierungstokens von ahnungslosen Reisenden zu stehlen. Die Kampagne macht eine alltägliche Routine von Geschäftsreisen – die Verbindung mit dem Hotel-Internet – zu einer Startrampe für den Diebstahl von Zugangsdaten und gefährdet Unternehmenskonten und sensible Daten.

So funktioniert der Hotel-WLAN-Angriff

Laut Microsoft zielten die Angreifer auf die Infrastruktur hinter den WLAN-Netzwerken von Hotels und Konferenzzentren ab und nicht auf einzelne Geräte. Indem sie die Gateways kompromittierten, die den Internetzugang für Gäste verwalten, konnten die Hacker Reisende auf gefälschte Microsoft 365-Anmeldeseiten umleiten, die dem echten Anmeldevorgang täuschend ähnlich sahen. Wer dort Zugangsdaten eingab oder eine Anmeldeaufforderung bestätigte, riskierte, aktive Authentifizierungstokens preiszugeben – die digitalen Schlüssel, mit denen Angreifer auf E-Mails, Dateien und andere Microsoft 365-Dienste zugreifen können, ohne überhaupt ein Passwort zu benötigen.

Dieser Ansatz ist bemerkenswert, weil er nicht darauf angewiesen ist, ein einzelnes Opfer dazu zu bringen, auf einen Phishing-Link zu klicken. Stattdessen wird das Vertrauen in ein gemeinsam genutztes Netzwerk ausgenutzt. Wenn das WLAN-Portal eines Hotels selbst kompromittiert ist, wird jeder Gast, der sich verbindet, zu einem potenziellen Ziel, unabhängig davon, wie vorsichtig er normalerweise mit E-Mail-Anhängen oder verdächtigen Links umgeht.

Warum Geschäftsreisende bevorzugte Ziele sind

Hotels und Konferenzzentren sind natürliche Jagdgründe für diese Art von Operation. Geschäftsreisende und Führungskräfte verbinden sich außerhalb des Büros häufig mit unbekannten Netzwerken, oft unter Zeitdruck und ohne die mehrschichtigen Sicherheitsvorkehrungen, die in einem Unternehmensnetzwerk vorhanden sind. Ein gestohlenes Microsoft 365-Token kann einem Angreifer Zugriff auf interne Kommunikation, Finanzdokumente, Kontaktlisten und Kalenderdetails verschaffen – Informationen, die sowohl für Spionage als auch für Folgeangriffe auf ein Unternehmen wertvoll sind.

Dies passt zu einem breiteren Muster, bei dem mit dem russischen Staat verbundene Gruppen Amtsträger, Führungskräfte und Organisationen über alltägliche Kommunikations- und Konnektivitätstools ins Visier nehmen. In einem anderen Fall hat Deutschland eine Phishing-Kampagne gegen Bundesminister und Bundestagsabgeordnete offiziell staatlich gesteuerten russischen Akteuren zugeschrieben, was unterstreicht, wie konsequent diese Gruppen hochwertige Ziele über Kanäle angreifen, die Menschen täglich nutzen und denen sie tendenziell vertrauen.

So schützen Sie Ihr Microsoft 365-Konto im Hotel-WLAN

Die gute Nachricht ist, dass Reisende und IT-Teams dieses Risiko mit einigen praktischen Gewohnheiten deutlich verringern können.

Verwenden Sie ein VPN, bevor Sie etwas anderes im Hotel- oder öffentlichen WLAN tun. Die Verbindung über ein seriöses VPN verschlüsselt Ihren Datenverkehr und leitet ihn aus einem möglicherweise kompromittierten lokalen Netzwerk heraus, wodurch es für ein gekapertes WLAN-Gateway viel schwieriger wird, Ihre Anmeldeversuche abzufangen oder umzuleiten.

Aktivieren Sie die Multi-Faktor-Authentifizierung (MFA) für jedes Microsoft 365-Konto und achten Sie genau auf unerwartete Authentifizierungsaufforderungen. Gestohlene Passwörter sind für Angreifer weit weniger nützlich, wenn ein zweiter Faktor erforderlich ist, wobei Reisende dennoch vorsichtig sein sollten, MFA-Anfragen zu genehmigen, die sie nicht selbst ausgelöst haben.

Überprüfen Sie die Anmeldeseite, bevor Sie Zugangsdaten eingeben. Gefälschte Microsoft 365-Anmeldeseiten sind so gestaltet, dass sie fast identisch mit der echten aussehen. Prüfen Sie die URL daher sorgfältig und seien Sie misstrauisch bei jeder Anmeldeseite, die unmittelbar nach der Verbindung mit einem neuen WLAN-Netzwerk erscheint.

Vermeiden Sie es, Unternehmenszugangsdaten direkt über das Captive-Portal eines Hotels oder eine Aufforderung einzugeben, die erscheint, bevor Sie bewusst einen Browser geöffnet und eine bekannte Website aufgerufen haben. Seriöse WLAN-Portale fragen in der Regel nur nach einer Zimmernummer oder einer einfachen Zustimmung zu den Nutzungsbedingungen, nicht nach einer vollständigen Anmeldung mit einem Microsoft-Konto.

Für Unternehmen ist dies auch eine Erinnerung, reisende Mitarbeiter vor Dienstreisen an sichere WLAN-Praktiken zu erinnern und die VPN-Nutzung zu einem festen Bestandteil der Reiserichtlinie zu machen, statt einer optionalen Empfehlung.

Was das für Sie bedeutet

Wenn Sie beruflich reisen und sich regelmäßig mit Hotel-WLANs verbinden, ist diese Kampagne eine direkte Erinnerung daran, dass das Netzwerk, mit dem Sie sich verbinden, möglicherweise nicht so vertrauenswürdig ist, wie es scheint – selbst dann, wenn es wie ein offizielles Hotelportal aussieht. Für den Angriff müssen Sie nicht auf einen bösartigen Link in einer E-Mail klicken; allein die Verbindung mit einem kompromittierten Netzwerk und die Anmeldung an einer scheinbar normalen Microsoft 365-Aufforderung genügen, um Ihr Token zu verlieren. Wenn Sie Hotel-WLAN als grundsätzlich nicht vertrauenswürdig behandeln und Schutzmaßnahmen wie ein VPN und MFA darüber legen, verschließen Sie den einfachsten Weg, den Angreifer zu Ihrem Konto haben.

Wichtigste Erkenntnisse

Nehmen Sie sich vor Ihrer nächsten Reise ein paar Minuten Zeit für die Vorbereitung: Installieren und testen Sie ein VPN, damit es sofort einsatzbereit ist, sobald Sie sich mit dem Hotel-WLAN verbinden, stellen Sie sicher, dass MFA für Ihr Microsoft 365-Konto aktiviert ist, und gewöhnen Sie sich an, jede Anmeldeseite genau zu prüfen, die direkt nach dem Verbinden mit einem neuen Netzwerk erscheint. Diese kleinen Schritte wirken den Taktiken dieser Kampagne direkt entgegen und tragen wesentlich dazu bei, Ihre Microsoft 365-Tokens – und alles, was sie schützen – aus den falschen Händen zu halten.