Microsoft har formellt tillskrivit en global kampanj med hotell-Wi-Fi-attacker till Midnight Blizzard, den ryska statskopplade hotaktören även känd som APT29. Tillskrivningen bekräftar vad säkerhetsforskare har misstänkt i veckor: besöksnäringsnätverk som används av affärsresenärer, diplomater och chefer har blivit en avsiktlig ingångspunkt för angripare som söker åtkomst till Microsoft 365-konton.

Kampanjen har redan dokumenterats i Microsofts egna råd och täckts i tidigare rapportering om hur ryska hackare kapar hotell-Wi-Fi för att stjäla M365-tokens. Det nya här är den formella kopplingen till Midnight Blizzard, en grupp med lång historik av spionagedrivna intrång mot myndigheter, tankesmedjor och företagsmål. Att knyta aktiviteten till en känd, välresursad aktör förändrar hur allvarligt organisationer bör behandla risken, och det väcker nya frågor om hur mycket förtroende man kan ha för ett offentligt nätverk.

Hur hotell-Wi-Fi-attackerna fungerar

I centrum för denna kampanj står en enkel men effektiv idé: istället för att attackera målets hem- eller kontorsnätverk, komprometterar man den delade Wi-Fi-infrastruktur som resenärer ansluter till utan att tänka efter. Hotell- och konferensnätverk hanteras vanligtvis av tredje parter, övervakas sällan noggrant och används av just den typ av högvärdiga mål – chefer, tjänstemän, journalister – som en statskopplad grupp som Midnight Blizzard vill nå.

Enligt Microsofts resultat använde angriparna skräddarsydd skadlig kod för att avlyssna sessioner och leda resenärer mot falska inloggningsflöden för Microsoft 365, för att slutligen samla in autentiseringstokens och inloggningsuppgifter. Eftersom Microsoft 365 är centralt för e-post, fillagring och enkel inloggning för så många organisationer kan ett enda komprometterat konto öppna dörren till en mycket bredare uppsättning interna system. Detta är samma grundmekanism som beskrivs i rapporteringen om hur Microsoft varnar för ryska hackare på hotell-Wi-Fi-nätverk, och det understryker varför besöksnäringen har blivit en så attraktiv iscensättningsplats för stöld av inloggningsuppgifter.

Varför tillskrivning till APT29 spelar roll

Säkerhetsteam skiljer ofta mellan opportunistisk cyberbrottslighet och riktat, statssponsrat spionage, och åtskillnaden formar hur ett försvar byggs upp. Midnight Blizzard, som också spåras som APT29 och allmänt anses verka med stöd från rysk underrättelsetjänst, är inte en smash-and-grab-operation. Historiskt prioriterar denna grupp långsiktig åtkomst, tyst uthållighet och underrättelsevärde framför snabba ekonomiska vinster.

Det sammanhanget är viktigt för alla som överväger om hotell-Wi-Fi-attacker är relevanta för dem. Om din organisation hanterar känslig kommunikation, arbetar med statliga kontrakt, verkar inom försvar, politik, energi eller journalistik, eller helt enkelt har chefer som reser internationellt, är denna kampanj en direkt påminnelse om att offentliga och halvoffentliga nätverk är en aktiv slagfält, inte en passiv bekvämlighet. Det bredare mönstret av attacker mot resenärer tillsammans med andra aktuella hot flaggades också i en nyligen publicerad sammanställning som täckte hotell-Wi-Fi-attacker och en Zimbra zero-day, där det noterades hur ofta reserelaterad infrastruktur nu dyker upp tillsammans med andra större sårbarheter i veckovisa hotsammanfattningar.

Vad detta innebär för dig

Om du reser i arbetet och ansluter till hotell- eller konferens-Wi-Fi är denna kampanj en signal att ändra vanor nu istället för efter en incident. Risken är inte begränsad till uppenbart misstänkta nätverk; hela premissen för denna attack är att vanligt, förväntat hotell-Wi-Fi tyst kan komprometteras utan synliga varningstecken. Microsofts egen vägledning, som upprepas i flera rapporter om denna kampanj, är att behandla hotell- och konferens-Wi-Fi som opålitligt som standard och att föredra privat mobildata eller hanterade, organisationsgodkända anslutningar när man hanterar något som är kopplat till arbetskonton.

För IT- och säkerhetsteam är detta också ett bra tillfälle att granska hur Microsoft 365-autentisering skyddas. Multifaktorautentisering hjälper, men tokenstöldtekniker kan ibland kringgå MFA om själva sessionstokens fångas upp. Principer för villkorlig åtkomst, enhetskontroller och övervakning av inloggningar från oväntade platser eller enheter lägger till meningsfull friktion mot denna typ av attack. Samma lärdom, att inloggnings- och portalbaserade attacker skalar snabbt över stora användarpopulationer, har visat sig i andra nyliga incidenter, inklusive exponeringen som beskrivs i rapporteringen om Hartford HUSKY Medicaid-intrånget, där portalåtkomsten i sig blev felpunkten.

Praktiska åtgärder

Behandla hotell-, flygplats- och konferens-Wi-Fi som opålitliga nätverk, oavsett hur officiell inloggningsportalen ser ut. Använd om möjligt en personlig eller företagsutfärdad mobil hotspot istället för delat Wi-Fi för allt som involverar arbetskonton. Se till att multifaktorautentisering är aktiverad för alla Microsoft 365-konton och fråga ditt IT-team om principer för villkorlig åtkomst finns på plats för att flagga inloggningar från okända enheter eller platser. Slutligen, om du eller din organisation har anledning att tro att ni är ett högvärdigt mål, vare sig på grund av bransch, roll eller åtkomst till känslig data, bygg in säkerhetsmedvetenhet kring resor i rutinmässig utbildning istället för att behandla det som en eftertanke. Midnight Blizzards hotell-Wi-Fi-kampanj är en tydlig demonstration av att den svagaste länken i en säkerhetskedja inte alltid finns inne på kontorsnätverket; ibland är det Wi-Fi-lösenordet som trycks på hotellets nyckelkort.