Microsoft ha rivelato che hacker legati allo stato russo hanno dirottato i portali Wi-Fi degli hotel per distribuire malware e rubare token di autenticazione Microsoft 365 da viaggiatori ignari. La campagna trasforma una parte abituale dei viaggi d'affari, la connessione alla rete internet dell'hotel, in una rampa di lancio per il furto di credenziali, mettendo a rischio account aziendali e dati sensibili.

Come funziona l'attacco al Wi-Fi degli hotel

Secondo Microsoft, gli aggressori hanno preso di mira l'infrastruttura che gestisce le reti Wi-Fi di hotel e centri congressi, piuttosto che i singoli dispositivi. Compromettendo i gateway che gestiscono l'accesso a internet per gli ospiti, gli hacker sono riusciti a reindirizzare i viaggiatori verso false pagine di accesso a Microsoft 365 che imitavano fedelmente l'esperienza di accesso reale. Chiunque abbia inserito le credenziali o approvato una richiesta di accesso su una di queste pagine contraffatte ha rischiato di consegnare token di autenticazione attivi, le chiavi digitali che consentono agli aggressori di accedere a email, file e altri servizi Microsoft 365 senza nemmeno bisogno di una password.

Questo approccio è degno di nota perché non si basa sull'ingannare una singola vittima per farle cliccare un link di phishing. Sfrutta invece la fiducia in una rete condivisa. Quando il portale Wi-Fi dell'hotel stesso viene compromesso, ogni ospite che si connette diventa un potenziale bersaglio, indipendentemente da quanto sia attento di solito con gli allegati email o i link sospetti.

Perché i viaggiatori d'affari sono obiettivi privilegiati

Hotel e centri congressi sono terreno di caccia naturale per questo tipo di operazioni. I viaggiatori d'affari e i dirigenti si connettono spesso a reti sconosciute quando sono lontani dall'ufficio, spesso sotto pressione di tempo e senza le stesse protezioni di sicurezza a più livelli disponibili sulla rete aziendale. Un token Microsoft 365 rubato può dare a un aggressore accesso a comunicazioni interne, documenti finanziari, rubriche e dettagli del calendario, informazioni preziose sia per lo spionaggio che per attacchi successivi contro un'organizzazione.

Questo rientra in un modello più ampio di gruppi legati allo stato russo che prendono di mira funzionari, dirigenti e organizzazioni attraverso gli strumenti di comunicazione e connettività di uso quotidiano. In un caso separato, la Germania ha formalmente attribuito una campagna di phishing contro ministri federali e membri del Bundestag ad attori sponsorizzati dallo stato russo, sottolineando come questi gruppi prendano costantemente di mira obiettivi di alto valore attraverso canali che le persone usano quotidianamente e di cui tendono a fidarsi.

Proteggere il proprio account Microsoft 365 sul Wi-Fi dell'hotel

La buona notizia è che i viaggiatori e i team IT possono ridurre significativamente questo rischio con alcune abitudini pratiche.

Usa una VPN prima di fare qualsiasi altra cosa su una rete Wi-Fi pubblica o di un hotel. Collegarsi tramite una VPN affidabile crittografa il traffico e lo instrada lontano da una rete locale potenzialmente compromessa, rendendo molto più difficile per un gateway Wi-Fi dirottato intercettare o reindirizzare i tentativi di accesso.

Attiva l'autenticazione a più fattori (MFA) su ogni account Microsoft 365 e presta molta attenzione a richieste di autenticazione impreviste. Le password rubate sono molto meno utili per gli aggressori se è richiesto un secondo fattore, anche se i viaggiatori devono comunque fare attenzione ad approvare richieste MFA che non hanno avviato.

Verifica la pagina di accesso prima di inserire le credenziali. Le false pagine di accesso a Microsoft 365 sono progettate per sembrare quasi identiche a quelle reali, quindi controlla attentamente l'URL e diffida di qualsiasi schermata di accesso che compaia subito dopo esserti connesso a una nuova rete Wi-Fi.

Evita di inserire le credenziali aziendali direttamente tramite il captive portal dell'hotel o qualsiasi richiesta che compaia prima di aver aperto intenzionalmente un browser e navigato verso un sito noto. I portali Wi-Fi legittimi di solito chiedono solo il numero della camera o una semplice accettazione dei termini, non un accesso completo all'account Microsoft.

Per le organizzazioni, questo è anche un promemoria per ricordare ai dipendenti in viaggio le pratiche di sicurezza per il Wi-Fi prima dei viaggi e per rendere l'uso della VPN una parte standard della politica di viaggio, anziché una raccomandazione facoltativa.

Cosa significa per te

Se viaggi per lavoro e ti connetti regolarmente al Wi-Fi degli hotel, questa campagna è un promemoria diretto che la rete a cui ti stai connettendo potrebbe non essere affidabile come sembra, anche quando appare come un portale ufficiale dell'hotel. L'attacco non richiede di cliccare su un link dannoso in un'email; basta semplicemente connettersi a una rete compromessa e accedere a quello che sembra un normale prompt di Microsoft 365 per perdere il proprio token. Trattare il Wi-Fi dell'hotel come intrinsecamente non affidabile e sovrapporre protezioni come una VPN e l'MFA chiude la via più semplice che gli aggressori hanno per accedere al tuo account.

Punti chiave

Prima del tuo prossimo viaggio, dedica qualche minuto alla preparazione: installa e testa una VPN in modo che sia pronta all'uso nel momento in cui ti connetti al Wi-Fi dell'hotel, verifica che l'MFA sia attivo sul tuo account Microsoft 365 e prendi l'abitudine di esaminare attentamente qualsiasi pagina di accesso che appaia subito dopo esserti connesso a una nuova rete. Questi piccoli passi contrastano direttamente le tattiche alla base di questa campagna e fanno molto per mantenere i tuoi token Microsoft 365, e tutto ciò che proteggono, lontano dalle mani sbagliate.