ROSTOCK / LONDON (IT BOLTWISE) – Angreifer nutzen kompromittierte Hotel-WLANs, um Microsoft-365-Konten von Geschäftsreisenden trotz 2FA zu erreichen. Laut Beobachtungen von Sicherheitsteams greifen sie dabei häufig zu Captive-Portalen und DNS-Manipulation statt klassischem Phishing. Verstärkt wird das Risiko zusätzlich durch Schwachstellen in Router-Software wie OpenWrt. Parallel zeigen Vorfälle wie ein WhatsApp-„Ghost Pairing“, dass auch nicht-staatliche Akteure Router-Einstellungen missbrauchen können.
Hotel-WLANs sind für viele Geschäftsreisende vor allem eins: praktisch. Genau diese Alltagsbequemlichkeit wird laut Sicherheitsberichten zunehmend zum Hebel für Angriffe. Im Zentrum stehen nicht etwa kompromittierte Endgeräte, sondern der Weg, wie sich Nutzer überhaupt ins Netz einloggen: Captive Portals, die Anmeldeseiten öffentlicher Netzwerke bereitstellen, sowie DNS-Manipulation, die den Zielverkehr umleitet. Das Muster ist dabei immer wieder ähnlich: Wer im Hotelnetz die Kontrolle über die „Zwischenstationen“ gewinnt, kann Anmeldeprozesse so ausspielen, dass sie für den Benutzer wie ein legitimer Login wirken.
Für die Kampagnen wird die Gruppe APT28 dem russischen Militärgeheimdienst zugeschrieben. In den beschriebenen Vorgehensweisen kommt es auf die Kombi aus kompromittierten WLAN-Gateways und täuschend echten Login-Masken an. Besonders problematisch: Die Angriffe zielen auf Microsoft-365-Zugangsdaten ab und umgehen dabei klassische Annahmen, nach denen Zwei-Faktor-Authentifizierung (2FA) automatisch vor Kontoübernahmen schützt. Wenn ein Angreifer den Anmeldeablauf so kontrolliert, dass Benutzer ihre Credentials in eine betrieblich passende, aber fremde Oberfläche eingeben, wird 2FA zwar ausgelöst – der Angreifer kann den Fluss jedoch so steuern, dass der Effekt trotzdem zur Übernahme führt.
Technisch verschärft wird das Risiko durch Schwachstellen in der Router-Software, weil viele Hotelnetzwerke auf Geräten mit derselben Basis-Software oder ähnlichen Konfigurationen laufen. Ende Juli wird in diesem Zusammenhang ein kritischer Patch für OpenWrt genannt: Die Lücke mit der Kennung CVE-2026-53921 erlaubt Remote-Code-Ausführung mit Root-Rechten über den Dienst odhcpd. Die Relevanz liegt weniger im Einzelfall als im Zeitmuster: Laut den Berichten werden solche Schwachstellen bereits seit Mitte 2023 ausgenutzt, um Hotel-Router zu übernehmen. Für die Praxis heißt das, dass ein „einmal durchgepatchtes“ Gateway nicht reicht, wenn Update-Zyklen, Konfigurationskontrolle und der Austausch von kompromittierten Geräten nicht lückenlos zusammenlaufen.
Dass nicht nur staatliche Akteure in Hotelumgebungen aktiv sind, zeigt ein konkretes Beispiel aus Rostock. Dort verlor ein 65-Jähriger 3.150 Euro über „Ghost Pairing“ bei WhatsApp. Die Täter sollen Router-Einstellungen manipuliert haben, um einen Code-Mechanismus zu kompromittieren und die Zwei-Faktor-Authentifizierung zu umgehen. Auch wenn solche Vorfälle auf den ersten Blick wie WhatsApp-spezifische Logik wirken, trifft das dahinterliegende Problem die gleiche Schnittstelle wie bei Microsoft: Kontrolle über die Netzumgebung kann Kommunikations- und Verifikationswege so beeinflussen, dass selbst zusätzliche Sicherheitsstufen nicht mehr zuverlässig schützen.
Parallel wird in den Berichten beschrieben, dass Kriminelle verstärkt „Evil Twin“-Netzwerke einsetzen. Dabei imitieren sie legitime WLANs durch identische Namen. Sobald sich Gäste verbinden, laufen Daten über manipulierte Portale, die wiederum als Brücke für weitere Schritte dienen. Auffällig ist außerdem, dass die Fallzahlen zunehmen: In den Niederlanden soll sich die Zahl der Account-Übernahmen nahezu verdreifacht haben. Auf Betriebsebene bedeutet das, dass die Bedrohung nicht nur in einzelnen Zielaktionen liegt, sondern als wiederkehrendes Organisationsmuster auftreten kann – mit der Folge, dass auch Unternehmen mit „solider Basis-Hygiene“ in Urlaubs- oder Geschäftsreise-Phasen neue Risikooberflächen eröffnen.
Das zweite Standbein der Angriffe ist die Schadsoftware, die den Kompromittierungsversuch in den Gerätemodus übersetzt. Genannt werden ein Android-Trojaner „Flying Eagle“, der sich als Behörden-App tarnt, sowie „SparkCat“, der gezielt Fotogalerien nach Krypto-Seed-Phrasen durchsucht. Für IT-Leitungen und Sicherheitsverantwortliche ist das wichtig, weil es zeigt, wie schnell aus einem Netz-basierten Initialangriff ein Geräte- und Datenexfiltrationsszenario wird. Gerade in Kombination mit Social Engineering sind solche Apps mehr als „nur“ Malware: Sie nutzen die Tatsache, dass Nutzer in Hotelumgebungen oft weniger skeptisch sind und Sicherheitsmechanismen wie App-Berechtigungen oder Bildschirmfreigaben weniger konsequent prüfen.
Für Geschäftsreisende verschiebt sich die Empfehlung daher weg vom reinen Kontopasswort und hin zu einem mehrschichtigen Schutz. Wo möglich, sollten mobile Daten dem Hotel-WLAN vorgezogen werden. Wenn ein öffentliches Netz unvermeidbar ist, kann ein Full-Tunnel-VPN den Datenverkehr des Geräts über einen zusätzlichen Tunnel absichern und so das Risiko von Manipulationen im lokalen Pfad reduzieren. Ebenso wird betont, dass Reisende die URLs der Login-Seiten im Blick behalten müssen und sensible Transaktionen in Hotel-Netzen meiden sollten. Auf Kontoseite rücken Passkeys und FIDO2-Sicherheitsschlüssel als weniger phishinganfällige Alternativen in den Fokus: Sie sind an die echte Dienst-URL gebunden und sollen gefälschten Seiten die Anmeldung verwehren. Ergänzend bleibt eine präzise Gerätehygiene entscheidend, also aktuelle Betriebssystem- und App-Updates, restriktive Berechtigungen und die Vermeidung von „Behörden“- oder „Sicherheits“-Apps aus inoffiziellen Quellen.
Für Unternehmen wirkt das Geschehen wie ein Warnsignal, die Sicherheitsstrategie nicht nur im Rechenzentrum, sondern auch an der Reise-Schnittstelle zu denken. Das betrifft sowohl Identity-Controls als auch das Verständnis, wie Router- und Captive-Portal-Umgebungen Verifikationsflüsse beeinflussen können. Wer Mitarbeitende mit starkem MFA ausstattet, sollte zusätzlich prüfen, wie diese Verfahren in realen, potenziell manipulierten Netzpfaden funktionieren – und ob es klare Leitlinien für Reisen gibt, inklusive konkreter Hinweise zu VPN-Nutzung und URL-Prüfung. Neben den technischen Maßnahmen bleibt dabei die operative Frage: Wie schnell können Updates und harte Regeln beim Nutzer ankommen, wenn ein Hotelnetzwerk einmal mehr ein „Angriffskanal“ wird statt nur ein Komfortfeature.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Hotel-WLAN als Angriffskanal: APT28 und Router-Lücken treffen Microsoft-365-Konten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Hotel-WLAN als Angriffskanal: APT28 und Router-Lücken treffen Microsoft-365-Konten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Hotel-WLAN als Angriffskanal: APT28 und Router-Lücken treffen Microsoft-365-Konten« bei Google Deutschland suchen, bei Bing oder Google News!