Een nieuwe draai aan een oud risico van openbare wifi

Beveiligingsonderzoekers hebben een dreigingsactor geïdentificeerd die inbreekt op openbare Wi-Fi-gateways, de hardware achter captive Wi-Fi-portalen die je ziet op luchthavens, hotels, cafés en conferentiecentra, om de Microsoft 365-inloggegevens van bedrijven te verzamelen. In plaats van een nephotspot op te zetten of een inlogpagina helemaal na te maken, compromitteert de aanvaller de legitieme infrastructuur die bedrijven en locaties al gebruiken om gasten te authenticeren voordat ze internettoegang krijgen.

Dit is belangrijk omdat captive portals een van de meest vertrouwde en minst onderzochte onderdelen van de openbare wifi-ervaring zijn. Miljoenen reizigers klikken elke dag zonder erbij na te denken door deze pagina's met 'ga akkoord met de voorwaarden en maak verbinding'. Als de gateway zelf is overgenomen, kan de pagina voor het verzamelen van inloggegevens die een gebruiker ziet er volkomen authentiek uitzien, want in zekere zin is het de echte infrastructuur, alleen gebruikt voor diefstal.

Hoe de aanval werkt

Captive Wi-Fi-gateways zijn de apparaten die tussen een openbaar netwerk en het open internet zitten. Meestal vragen ze gebruikers om in te loggen, de voorwaarden te accepteren of een e-mailadres in te voeren voordat ze kunnen browsen. Volgens rapporten over deze campagne heeft de dreigingsactor deze apparaten rechtstreeks gecompromitteerd en gebruikt om de Microsoft 365-accounts van zakelijke medewerkers te targeten terwijl ze reizen.

Omdat Microsoft 365 de ruggengraat vormt van e-mail, bestandsopslag en samenwerking voor een groot deel van de bedrijven wereldwijd, kan één gestolen set inloggegevens de deur openen naar inboxen, gedeelde documenten, interne communicatie en mogelijk diepere netwerktoegang als multi-factorauthenticatie niet goed is afgedwongen. Voor aanvallers is het richten op zakenreizigers via de gateway efficiënt: in plaats van individuele slachtoffers te achtervolgen, compromitteren ze het knelpunt waar veel verschillende reizigers doorheen moeten.

Deze aanpak omzeilt ook een deel van het gebruikelijke advies over het herkennen van nephotspots. Gebruikers maken niet per se verbinding met een valse netwerknaam of een overduidelijke verdachte pagina. Ze gebruiken de wifi die de locatie daadwerkelijk aanbiedt, die simpelweg op infrastructuurniveau tegen hen is gekeerd.

Waarom dit een privacy- en beveiligingsprobleem voor iedereen is

De implicaties hiervan gaan verder dan de IT-afdeling van één bedrijf. Openbare wifi staat al langer bekend als een zwakke schakel in persoonlijke privacy, maar deze campagne benadrukt hoe die zwakte opschaalt wanneer deze zakenreizigers treft die inloggegevens voor bedrijfssystemen bij zich dragen. Een gecompromitteerde Microsoft 365-login is niet alleen ongemakkelijk, maar kan leiden tot business e-mailcompromittering, blootstelling van gegevens en verdere phishingcampagnes die worden gelanceerd vanuit een vertrouwd intern account.

Het is een nuttige herinnering dat de tools waarop mensen vertrouwen voor privacy en beveiliging echte, specifieke grenzen kennen. Zoals we hebben besproken in onze uiteenzetting over waar een VPN daadwerkelijk tegen beschermt, versleutelt een VPN het verkeer tussen je apparaat en de VPN-server, wat echt waardevol is op openbare wifi. Maar het weerhoudt je er niet van om je echte inloggegevens te typen in een inlogscherm dat een captive portal zelf al heeft gecompromitteerd voordat je VPN-verbinding zelfs maar start. Dat onderscheid begrijpen is de sleutel om deze tools effectief te gebruiken in plaats van aan te nemen dat ze een wondermiddel zijn.

Het is ook het vermelden waard dat privacy-tools zoals VPN's steeds vaker onderdeel worden van bredere beleidsdiscussies, inclusief regelgevend toezicht zoals besproken in onze berichtgeving over de voorgestelde Britse VPN-leeftijdsverificatieregels. Naarmate deze tools meer aandacht krijgen van toezichthouders, wordt het begrijpen van precies waartegen ze wel en niet beschermen nog belangrijker voor zowel gewone gebruikers als bedrijven.

Wat dit voor jou betekent

Als jij of je medewerkers voor het werk reizen en regelmatig verbinding maken met openbare wifi op luchthavens, hotels of conferentiecentra, dan is deze campagne een signaal om de gewoonten rondom de toegang tot bedrijfsaccounts buitenshuis aan te scherpen. Het betekent niet dat openbare wifi volledig vermeden moet worden, maar wel dat het inlogmoment, dat captive portal-scherm, meer oplettendheid verdient dan de meeste mensen eraan geven.

Voor IT- en beveiligingsteams is dit een krachtig argument om zonder uitzondering multi-factorauthenticatie af te dwingen op alle Microsoft 365-accounts, omdat MFA de impact kan afzwakken zelfs als een wachtwoord is gestolen. Het is ook een reden om het gebruik van een mobiele hotspot te overwegen of een vertrouwde VPN-verbinding tot stand te brengen voordat je met gevoelige logins begint, in plaats van te vertrouwen op het standaardnetwerk dat een locatie aanbiedt.

Concrete actiepunten

  • Schakel multi-factorauthenticatie in op alle Microsoft 365- en andere bedrijfsaccounts, zodat een gestolen wachtwoord alleen niet genoeg is om toegang te krijgen.
  • Vermijd het inloggen op bedrijfsaccounts direct na het verbinden met een openbare Wi-Fi captive portal; gebruik waar mogelijk een mobiele hotspot of maak eerst verbinding via een VPN.
  • Behandel captive portal-inlogpagina's met dezelfde voorzichtigheid als elk onbekend inlogscherm en voer nooit meer informatie in dan een netwerk werkelijk nodig heeft om toegang te verlenen.
  • Moedig reizende medewerkers aan om alles wat ongewoon is aan een wifi-inlogervaring, zoals onverwachte aanmeldingprompts, te melden aan hun IT- of beveiligingsteam.
  • Onthoud dat een VPN een waardevolle beschermingslaag is op openbare wifi, maar het is geen vervanging van voorzichtigheid op het inlogmoment; begrip van de werkelijke reikwijdte van de bescherming helpt je het correct te gebruiken.

Terwijl dreigingsactoren steeds nieuwe manieren vinden om de infrastructuur te exploiteren die reizigers al vertrouwen, is op de hoogte blijven van hoe deze aanvallen werkelijk werken, in plaats van te vertrouwen op verouderde aannames over de risico's van openbare wifi, een van de meest effectieve verdedigingsmiddelen die beschikbaar zijn.