LONDON (IT BOLTWISE) – Eine laufende Cyber-Kampagne zielt auf Geschäftsreisende in Hotels und Konferenzzentren: Angreifer übernehmen Wi‑Fi-Gateways, fangen Microsoft‑365-Anmeldedaten ab und kapern Konten. Im Zentrum stehen Captive-Portal-Geräte, die über schwache Administratorzugänge erreichbar sind. Danach lenken DNS-Poisoning und gefälschte Microsoft‑Login-Seiten den Datenverkehr gezielt um, während Angriffswege wie Device-Code-Flow zur Umgehung von MFA beitragen. Für Unternehmen wird damit klar: Die WLAN-Peripherie ist nicht „nur“ IT-Betrieb, sondern Teil der Identity-Sicherheitskette.
In öffentlichen und halbprivaten WLANs wirkt die eigene IT-Hygiene für viele Reisende selbstverständlich: Browser ist aktuell, VPN ist im Kopf, MFA ist aktiv. Die jüngsten Erkenntnisse aus einer laufenden Analyse zeigen jedoch, wie Angreifer diese Annahmen an der Eintrittsstelle aushebeln. Bedrohungsakteure kompromittieren Wi‑Fi-Gateways in Hotels und Konferenzzentren und nutzen die Position am Netzwerkrand, um anschließend Microsoft‑365-Konten zu übernehmen. Besonders brisant ist, dass die Kampagne nicht als „Einzelfall in einer Lobby“ beschrieben wird, sondern in verschiedenen Regionen und Branchen beobachtet wurde.
Technisch beginnt der Angriff bei den Captive-Portal-Geräten: Das sind die Vorschaltseiten, über die Nutzer sich typischerweise in Gastnetzen anmelden. Laut den vorliegenden Untersuchungsergebnissen gelingt es den Akteuren häufig, diese Gateways über schwache Administrator-Zugänge zu kontrollieren – etwa per SSH oder SNMP sowie über webbasierte Konfigurationskonsolen. Sobald diese Kontrolle steht, wird aus dem Hotel-WLAN ein Manipulationspunkt für den Traffic: DNS-Poisoning sorgt dafür, dass Benutzer nicht zwangsläufig zu echten Zieladressen gelangen. Statt auf legitime Dienste zuzugreifen, werden Opfer auf gefälschte Microsoft‑365-Anmeldeseiten geleitet, bei denen Zugangsdaten abgegriffen werden können.
Bemerkenswert ist dabei, dass die Angreifer im beschriebenen Szenario nicht nur klassisch Phishing betreiben, sondern auch Authentifizierungsmechanismen gezielt ausnutzen. Ein zentrales Element ist der Einsatz des Device-Code-Flows: Diese Funktion ist eigentlich dafür gedacht, Geräte ohne einfache Eingabemöglichkeit sicher bei Cloud-Diensten anzumelden. Die Untersucher sehen den Missbrauch dieses Prozesses als Hebel, um Sicherheitsprüfungen wie Multi‑Faktor-Authentifizierung (MFA) zu umgehen. Daneben wird in etwa einem Drittel der untersuchten Fälle ein zusätzlicher Missbrauch des Web Proxy Auto‑Discovery (WPAD) Protokolls beobachtet, was auf eine mehrstufige Umgehungsstrategie hindeutet – nicht nur Zugangsdaten abgreifen, sondern auch Netzwerk- und Routing-Entscheidungen in der Client-Umgebung beeinflussen.
Konkrete technische Indikatoren werden ebenfalls genannt: Vier verdächtige Domains sind dem Komplex zugeordnet, darunter m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com und ms365-live[.]com. Ergänzend werden spezifische IP-Adressen mit der Angreiferinfrastruktur in Verbindung gebracht: 38.146.28.75, 31.57.243.154 und 104.194.159.150. Solche Angaben sind für Security-Teams praktisch, weil sie sich in Monitoring, DNS-Blocking, Proxy-Logs und Incident-Triage überführen lassen. Gleichzeitig verdeutlichen die beobachteten Größenordnungen die potenzielle Reichweite: Im Text wird eine Schätzung von 4,7 Millionen gehackten Konten pro Quartal in Deutschland genannt – und damit ein klares Risiko für Organisationen, die auf Reiseprofile, mobile Identitäten oder „temporär akzeptierte“ Netzwerkpfade angewiesen sind.
Der Kontext wird besonders, wenn man den zeitlichen und geographischen Rahmen betrachtet. Die Kampagne ist demnach seit Juni 2026 aktiv, mit Schwerpunkten in den USA, Indien und Saudi-Arabien; betroffene Sektoren reichen von Finanz- und Rechtswesen über Gesundheit bis Energie und Einzelhandel. Zudem werden laut Analyse deutliche Ähnlichkeiten der verwendeten Taktiken und Verfahren mit APT28 beschrieben, das in der Fachwelt auch unter den Namen Fancy Bear oder FrostArmada geführt wird. Das ist mehr als eine Zuordnungsfrage: APT28-ähnliche Muster stehen in der Regel für systematische Ziele, nicht für „lautes“ Massenphishing. Für Unternehmen heißt das, dass die reine Post-Login-Absicherung nicht reicht, wenn kompromittierbare Infrastrukturbausteine bereits vor der eigentlichen Authentifizierung angreifen.
Für die Verteidigung wird daher ein Bündel aus Maßnahmen vorgeschlagen, das an verschiedenen Punkten der Kette ansetzt. Priorität bekommt die Nutzung von Full‑Tunnel‑VPN-Verbindungen: Damit verschlüsselt der Client nicht nur einzelne Zugriffe, sondern leitet den gesamten Datenverkehr durch den sicheren Tunnel, wodurch lokale Netzmanipulationen am Gateway weniger wirksam werden. Zusätzlich empfiehlt sich verschlüsseltes DNS, um DNS-Poisoning erschwerter zu machen, und das Deaktivieren von WPAD auf Firmengeräten, weil damit ein konkreter Mechanismus zur Proxy-Umleitung entfällt. Wo organisatorisch möglich, wird außerdem angeregt, den Device-Code-Flow in Cloud‑Sicherheitsrichtlinien zu blockieren, sofern er für den Geschäftsbetrieb nicht zwingend erforderlich ist – ein Eingriff, der die Angriffsfläche dort reduziert, wo die Kampagne laut Analyse ansetzt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Hotel-WLAN-Angriffe: Hacker kapern Microsoft-365-Zugänge über manipulierte Captive Portals" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Hotel-WLAN-Angriffe: Hacker kapern Microsoft-365-Zugänge über manipulierte Captive Portals" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Hotel-WLAN-Angriffe: Hacker kapern Microsoft-365-Zugänge über manipulierte Captive Portals« bei Google Deutschland suchen, bei Bing oder Google News!