LONDON (IT BOLTWISE) – Eine russische Hackergruppe nutzt manipulierte Hotel-WLAN-Netze, um Anmeldedaten für Microsoft 365 abzugreifen. Die Kampagne „CaptiveCrunch“ täuscht dabei Microsoft-Login-Seiten vor und schleust anschließend Schadsoftware ein. Nach Angaben der betroffenen Sicherheitsexperten laufen die Aktivitäten seit Mai 2026; als frühe Spuren nennen sie den Februar als Startpunkt. Für Unternehmen in der EU ist das besonders relevant, weil die Gruppe gezielt auch Ziele in Deutschland ansteuert.
Hotel-WLANs wirken für Geschäftsreisende oft wie ein praktischer Komfortdienst, doch genau dort setzt die aktuelle Angriffskampagne an: Manipulierte Netz-Zugangsportale führen Gäste nicht zur erwarteten Anmeldeseite, sondern zu gefälschten Microsoft-Login-Masken und fingierten Update-Hinweisen. Damit wird aus dem alltäglichen Schritt „ins Internet kommen“ ein Relais für Identitätsdiebstahl. Besonders angreifbar sind Microsoft-365-Konten von Hotelgästen, weil sich die Betrugsseiten eng an das echte Look-and-Feel anlehnen und Nutzer dadurch weniger misstrauisch reagieren.
Technisch beschrieben erfolgt der Einstieg über kompromittierte DNS- und HTTP-Weiterleitungen im Anmeldeportal des Hotel-WLANs. Wer sich einwählen will, landet so nicht nur auf einer Website, sondern in einem gesteuerten Ablauf, der die Zielseite „ersetzt“. Microsofts Sicherheitsexperten ordnen die Kampagne unter dem Namen „CaptiveCrunch“ ein und datieren sie auf den Zeitraum ab Mai 2026; erste nachweisbare Aktivitäten reichen laut den Angaben bis in den Februar zurück. Im Visier stehen dabei vor allem Microsoft-365-Konten von Gästen, wobei der Fokus auf Geschäftsreisenden liegt.
Für die Zuordnung wird ein staatlich unterstützter Akteur genannt, der auch unter den Bezeichnungen Storm-2945 sowie Midnight Blizzard oder APT29 bekannt ist. Für europäische Organisationen erhöht das die Dringlichkeit, weil solche Gruppen traditionell nicht nur globale Ziele, sondern auch Regionen innerhalb der EU ansteuern. Praktisch heißt das: IT-Teams sollten nicht nur auf einzelne kompromittierte Konten reagieren, sondern die Angriffsoberfläche „Reisegerät + öffentliches WLAN + Browser-Interaktion“ als zusammenhängendes Muster betrachten. In der Praxis ist die entscheidende Schwachstelle selten das WLAN selbst, sondern der Moment, in dem Nutzer Interaktionsaufforderungen bestätigen.
Das Angriffsmuster trägt in der Beschreibung den Namen „ClickFix“: Durch scheinbar harmlose Dialogfelder werden Opfer dazu gebracht, schädliche Inhalte zu bestätigen. Hinzu kommen sogenannte Doppelgänger-Domains, die legitime Adressen optisch so nahe aneinanderlegen, dass Verwechslungen wahrscheinlich werden. Auffällig ist außerdem die Bandbreite der imitierenden Meldungen: Die gefälschten Seiten nutzen Hinweise, die wie Systemmeldungen wie „winupdate“, „defender“ oder „directx“ wirken, und ergänzen das Ganze um Aufforderungen für Browser- oder PDF-Viewer-Updates. So entsteht ein konsistentes Narrativ aus „Sicherheits- und Systemzustand“ statt aus einem klar erkennbaren Phishing-Login.
Gelingt die Täuschung, folgen zwei Schadsoftware-Varianten, die nach den vorliegenden Beschreibungen eingesetzt werden können. CornFlake ist ein in Go programmierten Remote-Access-Trojaner, der dauerhaften Zugriff auf das Gerät ermöglichen kann. ChocoShell dagegen basiert auf PowerShell und wird als Datendieb eingeordnet. Beide Werkzeuge zielen auf konkrete Aktionen ab: Sie können Tastatureingaben mitlesen, Screenshots anfertigen und sogar Audio- oder Videoaufnahmen aktivieren; in einzelnen Fällen ist zudem eine vollständige Fernsteuerung des kompromittierten Systems möglich. Genau dieser Funktionsumfang erklärt, warum das „nur kurz bestätigen“ auf einer Fake-Update-Seite schnell zu einem umfassenden Incident werden kann.
Für Reisende leiten sich daraus klare Handlungsregeln ab, die in der beschriebenen Lage besonders wirksam sind. Sicherheitsexperten raten, Hotel-WLAN grundsätzlich als unsichere Umgebung zu behandeln: Wer sich einwählt, sollte unerwartete Update-Aufforderungen nicht sofort bestätigen und keine Software installieren. Als Alternative wird empfohlen, auf den mobilen Hotspot des Smartphones zurückzugreifen; ist das Hotel-WLAN unvermeidbar, sollte eine VPN-Verbindung mit Kill-Switch genutzt werden, damit die Verbindung automatisch abbricht, sobald der Schutz aus irgendeinem Grund nicht mehr greift. Ergänzend spielt Multi-Faktor-Authentifizierung eine zentrale Rolle, während die Gerätecode-Authentifizierung deaktiviert werden soll, da diese Funktion bei Microsoft-Konten zwar häufig als Standard bereitsteht, aber in diesem Kontext als Umgehungspunkt dienen kann.
Auch auf der Unternehmensebene lohnt es sich, die Ereignisse nicht als „Einzelfall“ zu behandeln, sondern als Testlauf für die Reise-spezifische Sicherheitsstrategie. Wer Accounts schützen will, muss neben MFA auch den Zugriff aus mobilen Kontexten mitdenken, denn die Angriffslogik setzt an Interaktionen und Authentifizierung an. In der beschriebenen Kampagne wird genau dieses Zusammenspiel aus gefälschten UI-Dialogen, Domänenimitation und nachgelagertem Payload-Einsatz ausgenutzt. Für IT-Verantwortliche bedeutet das: Konten-Hardening, klare Nutzerleitlinien für Authentifizierungsanfragen in öffentlichen Netzen und eine schnelle Reaktionsfähigkeit bei verdächtigen Login-Mustern sind entscheidend, bevor aus gestohlenen Anmeldedaten ein längerer Zugriff über Trojaner wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Hotel-WLAN-Angriff „CaptiveCrunch“: Microsoft-365-Zugänge im Visier" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Hotel-WLAN-Angriff „CaptiveCrunch“: Microsoft-365-Zugänge im Visier" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Hotel-WLAN-Angriff „CaptiveCrunch“: Microsoft-365-Zugänge im Visier« bei Google Deutschland suchen, bei Bing oder Google News!