Una nuova svolta per un vecchio rischio del Wi-Fi pubblico

I ricercatori di sicurezza hanno identificato un attore delle minacce che compromette i gateway Wi-Fi pubblici, l'hardware alla base dei portali captive che vediamo in aeroporti, hotel, caffetterie e centri congressi, al fine di rubare le credenziali aziendali di Microsoft 365. Invece di creare un hotspot falso o falsificare una pagina di login da zero, l'attaccante compromette l'infrastruttura legittima su cui aziende e locali fanno già affidamento per autenticare gli ospiti prima di concedere l'accesso a Internet.

Questo è importante perché i portali captive sono una delle parti più fidate e meno esaminate dell'esperienza Wi-Fi pubblica. Milioni di viaggiatori ogni giorno cliccano su queste pagine "accetta i termini e connettiti" senza pensarci due volte. Se il gateway stesso è stato dirottato, la pagina per la raccolta delle credenziali che l'utente vede può apparire del tutto autentica, perché in un certo senso si tratta proprio dell'infrastruttura reale, solo riutilizzata per il furto.

Come funziona l'attacco

I gateway Wi-Fi captive sono i dispositivi che si trovano tra una rete pubblica e Internet aperta, e di solito chiedono agli utenti di effettuare il login, accettare i termini o inserire un indirizzo email prima di iniziare a navigare. Secondo quanto riportato su questa campagna, l'attore delle minacce ha compromesso direttamente questi dispositivi e li ha usati per prendere di mira gli account Microsoft 365 dei dipendenti aziendali durante i loro viaggi.

Poiché Microsoft 365 è la spina dorsale di email, archiviazione file e collaborazione per un'ampia fetta di aziende in tutto il mondo, un singolo set di credenziali rubate può aprire la porta a caselle di posta, documenti condivisi, comunicazioni interne e potenzialmente a un accesso di rete più profondo se l'autenticazione a più fattori non è applicata correttamente. Per gli attaccanti, prendere di mira i viaggiatori d'affari a livello di gateway è efficiente: invece di inseguire vittime singole, compromettono il punto di strozzatura che molti viaggiatori diversi sono costretti ad attraversare.

Questo approccio aggira anche alcuni dei consigli abituali su come individuare hotspot falsi. Gli utenti non si collegano necessariamente a un nome di rete non autorizzato o a una pagina palesemente sospetta. Stanno usando il Wi-Fi che il locale fornisce realmente, che è stato semplicemente rivoltato contro di loro a livello di infrastruttura.

Perché questo è un problema di privacy e sicurezza per tutti

Le implicazioni vanno oltre il reparto IT di una singola azienda. Il Wi-Fi pubblico è da tempo considerato un anello debole per la privacy personale, ma questa campagna evidenzia come quella debolezza si amplifichi quando colpisce i viaggiatori d'affari che portano con sé le credenziali dei sistemi aziendali. Un login Microsoft 365 compromesso non è solo un inconveniente, può portare alla compromissione della posta elettronica aziendale, all'esposizione dei dati e a ulteriori campagne di phishing lanciate da un account interno fidato.

È un utile promemoria del fatto che gli strumenti su cui le persone fanno affidamento per la privacy e la sicurezza hanno limiti reali e specifici. Come abbiamo spiegato nella nostra analisi su cosa protegge realmente una VPN, una VPN crittografa il traffico tra il tuo dispositivo e il server VPN, il che è davvero prezioso sul Wi-Fi pubblico. Ma non ti impedisce di digitare le tue credenziali reali in una schermata di login che un portale captive stesso ha già compromesso prima ancora che la connessione VPN venga stabilita. Comprendere questa distinzione è fondamentale per utilizzare questi strumenti in modo efficace anziché considerarli una panacea.

Vale anche la pena notare che gli strumenti per la privacy come le VPN sono sempre più parte di discussioni politiche più ampie, incluso il controllo normativo come quello discusso nella nostra copertura sulle proposte del Regno Unito per la verifica dell'età tramite VPN. Man mano che questi strumenti ricevono maggiore attenzione da parte delle autorità di regolamentazione, capire esattamente cosa proteggono e cosa no diventa ancora più importante sia per gli utenti quotidiani che per le aziende.

Cosa significa per te

Se tu o i tuoi dipendenti viaggiate per lavoro e vi connettete regolarmente al Wi-Fi pubblico in aeroporti, hotel o sedi congressuali, questa campagna è un segnale per rafforzare le abitudini su come si accede agli account aziendali fuori dall'ufficio. Non significa che il Wi-Fi pubblico vada evitato del tutto, ma piuttosto che il momento del login, quella schermata del portale captive, merita più attenzione di quanta gliene diano la maggior parte delle persone.

Per i team IT e di sicurezza, questo è un forte argomento a favore dell'applicazione dell'autenticazione a più fattori su tutti gli account Microsoft 365 senza eccezioni, poiché l'MFA può attenuare l'impatto anche se la password viene rubata. È anche un motivo per prendere in considerazione l'uso di hotspot mobili o una connessione VPN affidabile stabilita prima di qualsiasi login sensibile, anziché affidarsi alla rete predefinita fornita dal locale.

Cosa fare concretamente

  • Abilita l'autenticazione a più fattori su tutti gli account Microsoft 365 e altri account aziendali, in modo che una password rubata da sola non sia sufficiente per concedere l'accesso.
  • Evita di effettuare il login agli account aziendali subito dopo esserti connesso a un portale captive Wi-Fi pubblico; quando possibile, usa un hotspot cellulare o connettiti prima tramite una VPN.
  • Tratta le pagine di login dei portali captive con la stessa cautela che riservi a qualsiasi schermata di login sconosciuta, e non inserire mai più informazioni di quelle strettamente necessarie alla rete per concedere l'accesso.
  • Incoraggia i dipendenti in viaggio a segnalare qualsiasi cosa insolita nell'esperienza di login Wi-Fi, come richieste impreviste di credenziali, al proprio team IT o di sicurezza.
  • Ricorda che una VPN è un prezioso strato di protezione sul Wi-Fi pubblico, ma non sostituisce la cautela nella fase di login; capire il suo reale ambito di protezione ti aiuta a usarla correttamente.

Mentre gli attori delle minacce continuano a trovare nuovi modi per sfruttare l'infrastruttura di cui i viaggiatori già si fidano, rimanere informati su come funzionano realmente questi attacchi, anziché basarsi su presupposti superati sul rischio del Wi-Fi pubblico, è una delle difese più efficaci a disposizione.