Microsoft офіційно приписала глобальну кампанію атак через готельний Wi-Fi угрупованню Midnight Blizzard, пов'язаному з російською державою та відомому також як APT29. Це підтверджує те, що дослідники безпеки підозрювали вже кілька тижнів: мережі гостинності, якими користуються бізнес-мандрівники, дипломати та керівники, стали свідомою точкою входу для зловмисників, які прагнуть отримати доступ до облікових записів Microsoft 365.

Кампанія вже була задокументована у власних рекомендаціях Microsoft і висвітлювалася в попередніх матеріалах про те, як російські хакери перехоплюють готельний Wi-Fi для викрадення токенів M365. Новим тут є офіційний зв'язок із Midnight Blizzard — угрупованням із довгою історією шпигунських вторгнень проти урядових установ, аналітичних центрів і корпоративних цілей. Прив'язка активності до відомого, добре забезпеченого ресурсами суб'єкта змінює те, наскільки серйозно організації повинні ставитися до ризику, і порушує нові питання про те, наскільки можна довіряти публічним мережам.

Як працюють атаки через готельний Wi-Fi

В основі цієї кампанії лежить проста, але ефективна ідея: замість атакувати домашню чи офісну мережу цілі, компрометувати спільну інфраструктуру Wi-Fi, до якої мандрівники підключаються без роздумів. Готельні та конференц-мережі зазвичай керуються третіми сторонами, рідко піддаються пильному моніторингу й використовуються саме тими цінними цілями — керівниками, посадовцями, журналістами, — яких державне угруповання на кшталт Midnight Blizzard прагне досягти.

Згідно з висновками Microsoft, зловмисники використовували спеціально створене шкідливе ПЗ для перехоплення сесій і перенаправлення мандрівників на фальшиві сторінки входу Microsoft 365, зрештою збираючи токени автентифікації та облікові дані. Оскільки Microsoft 365 знаходиться в центрі електронної пошти, зберігання файлів і єдиного входу для багатьох організацій, один скомпрометований обліковий запис може відкрити двері до значно ширшого набору внутрішніх систем. Це той самий основний механізм, описаний у звітах про те, як Microsoft попереджає про російських хакерів у готельних Wi-Fi мережах, і це підкреслює, чому сектор гостинності став таким привабливим плацдармом для викрадення облікових даних.

Чому приписування до APT29 має значення

Команди безпеки часто розрізняють опортуністичну кіберзлочинність і цілеспрямоване державне шпигунство, і це розрізнення визначає, як будується захист. Midnight Blizzard, також відстежувана як APT29, яка, як вважається, діє за підтримки російської розвідки, не є операцією за принципом «прийшов і втік». Історично це угруповання надає пріоритет довгостроковому доступу, тихій присутності та розвідувальній цінності над швидким фінансовим прибутком.

Цей контекст важливий для всіх, хто оцінює, чи стосуються атаки через готельний Wi-Fi їхньої діяльності. Якщо ваша організація обробляє конфіденційні комунікації, працює з державними контрактами, діє у сфері оборони, політики, енергетики чи журналістики або просто має керівників, які подорожують за кордон, ця кампанія є прямим нагадуванням, що публічні та напівпублічні мережі є активним полем бою, а не пасивною зручністю. Ширша модель атак на мандрівників разом з іншими поточними загрозами також була відзначена в нещодавньому огляді, що висвітлював атаки через готельний Wi-Fi та zero-day у Zimbra, де зазначалося, як часто інфраструктура, пов'язана з подорожами, тепер з'являється поряд з іншими значними вразливостями в щотижневих зведеннях загроз.

Що це означає для вас

Якщо ви подорожуєте у справах і підключаєтесь до готельного чи конференц-Wi-Fi, ця кампанія є сигналом змінити звички зараз, а не після інциденту. Ризик не обмежується очевидно підозрілими мережами; вся суть цієї атаки полягає в тому, що звичайний, очікуваний готельний Wi-Fi може бути тихо скомпрометований без видимих попереджувальних ознак. Власні рекомендації Microsoft, повторені в численних звітах про цю кампанію, полягають у тому, щоб за замовчуванням ставитися до готельного та конференц-Wi-Fi як до ненадійного й надавати перевагу стільниковим даним або керованим, схваленим організацією з'єднанням під час роботи з чимось, що пов'язане з робочими обліковими записами.

Для ІТ-спеціалістів і команд безпеки це також слушний момент переглянути, як захищена автентифікація Microsoft 365. Багатофакторна автентифікація допомагає, але техніки викрадення токенів іноді можуть обходити MFA, якщо самі токени сесії перехоплені. Політики умовного доступу, перевірки відповідності пристроїв і моніторинг входів із несподіваних місць або пристроїв створюють значущі перешкоди для такого виду атак. Той самий урок, що атаки на облікові дані та веб-портали швидко масштабуються серед великих груп користувачів, проявився в інших нещодавніх інцидентах, зокрема у витоку, детально описаному в матеріалі про порушення в Hartford HUSKY Medicaid, де сам доступ до порталу став точкою відмови.

Практичні висновки

Ставтеся до готельного, аеропортового та конференц-Wi-Fi як до ненадійних мереж, незалежно від того, наскільки офіційним виглядає портал входу. За можливості використовуйте особисту або надану компанією мобільну точку доступу замість спільного Wi-Fi для всього, що стосується робочих облікових записів. Переконайтеся, що багатофакторну автентифікацію ввімкнено для всіх облікових записів Microsoft 365, і запитайте вашу ІТ-команду, чи впроваджені політики умовного доступу для позначення входів із незнайомих пристроїв або місць. Нарешті, якщо ви або ваша організація маєте підстави вважати себе ціллю з вищою вартістю — через галузь, посаду чи доступ до конфіденційних даних, — включіть обізнаність щодо безпеки під час подорожей до регулярного навчання, а не ставтеся до цього як до другорядної думки. Кампанія Midnight Blizzard через готельний Wi-Fi є чіткою демонстрацією того, що найслабшою ланкою в ланцюгу безпеки не завжди є внутрішня офісна мережа; іноді це пароль Wi-Fi, надрукований на картці-ключі готельного номера.