LONDON (IT BOLTWISE) – Eine laufende Phishing-Kampagne nutzt kompromittierte Hotel-WLAN-Gateways, um Reisende auf gefälschte Microsoft-365-Loginseiten umzuleiten. Betroffene sehen oft weiterhin einen „normalen“ Sign-in-Prozess, obwohl die DNS-Antwort im Hintergrund umgeschrieben wird. In einzelnen Fällen kommt zusätzlich ein Device-Code-Flow zum Einsatz, bei dem nach einer legitimen Freigabe ein OAuth-Token an den Angreifer ausgestellt werden kann. ReliaQuest rät vor allem zu einem immer aktiven Full-Tunnel-VPN, zur Prüfung der vollständigen Login-Adresse und zur Warnung bei unerwarteten Gerätefreigaben.
Wer auf Geschäftsreise zwischen Meetingraum, Konferenzzentrum und Hotel wechselt, vertraut beim Login zu Microsoft 365 häufig auf einen „funktioniert schon“-Moment: Laptop aufklappen, WLAN verbinden, Browser öffnen, anmelden. Genau diesen Ablauf haben Angreifer nach Erkenntnissen von ReliaQuest als Angriffsfläche identifiziert. Die Kampagne zielt auf kompromittierte WLAN-Gateways ab, die in Hotels und Veranstaltungsorten als Schnittstelle zwischen Endgerät und Internet dienen. Das Ergebnis ist technisch betrachtet kein klassisches „WLAN ist kaputt“-Erlebnis, sondern eine subtile Umleitung: Das Gerät wirkt verbunden und Webseiten laden scheinbar normal, während der Redirect auf eine betrügerische Microsoft-Loginseite erfolgt.
Den Kern bildet die Manipulation der DNS-Übersetzung, also der Frage, welche numerische Zieladresse zu einem bestimmten Domainnamen gehört. Ein WLAN-Gateway steuert, wie Clients ins Internet gelangen, und kann nach erlangtem Administratorzugriff die Domain-Name-System-Einstellungen ändern. DNS ist dabei wie ein Adressbuch für das Web: Wird ein legitimer Microsoft-Host aufgerufen, kann die kompromittierte Appliance statt zur echten Seite eine gefälschte Zieladresse ausgeben. Für Betroffene entsteht daraus ein Zeitfenster, das besonders auf Reisen problematisch ist: Man ist im Flow, öffnet den gewohnten Microsoft-Login, sieht eine optisch stimmige Maske und gibt im Zweifel sofort Zugangsdaten ein, ohne den vollständigen Domainnamen kritisch zu prüfen.
ReliaQuest beschreibt, dass die Angreifer mindestens vier Domains für ihre Fake-Portale registriert haben, darunter m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com und ms365-live[.]com. Diese Adressen enthalten typische Microsoft-Begriffe, die beim schnellen Abgleich leicht übersehen werden. Aus Sicht der Angreifer reicht das schon für die Sammlung eines Microsoft-365-E-Mail-Postfachs und eines Passworts. Anschließend wird der Schaden häufig erweitert: Ein gestohlenes Konto kann Geschäftsmails und private Dokumente zugreifen, zudem Angriffsflächen wie Cloud-Dienste eröffnen. Gerade in Organisationen mit vielen reisenden Mitarbeitenden ist außerdem die „Impersonation“ naheliegend, also das Auftreten als interner Absender für weitere Social-Engineering-Kampagnen oder für zielgerichtetes Phishing gegenüber Kolleginnen, Kunden und Partnern.
Besonders sicherheitsrelevant ist, dass die Kampagne nicht nur auf klassische Passwortabfragen setzt, sondern in manchen Fällen einen Device-Code-Authentifizierungsweg missbraucht. In den beschriebenen Vorfällen landete ein Nutzer auf einer gefälschten Microsoft-Seite, die eine Autorisierungsanfrage anzeigte, die wie ein Bestandteil des legitimen Sign-in-Prozesses wirkte. Entscheidend ist, was im Hintergrund bereits gestartet war: Der Angreifer hatte die Authentifizierungssitzung vorbereitet, und nach der vom Nutzer bestätigten Freigabe stellte Microsoft einen gültigen OAuth-Token für den Client des Angreifers aus. Dadurch kann der Angriff Multi-Faktor-Mechanismen teilweise umgehen, weil der Sicherheitsprozess die Freigabe als „vom Nutzer genehmigt“ bewertet, obwohl der Nutzer die Anfrage nicht im eigenen Initiierungskontext gestartet hatte. Für die Praxis folgt daraus eine klare Regel: Wenn ein Login plötzlich fragt, ein Gerät zu autorisieren, sollte man sofort abbrechen, den Request im Unternehmen verifizieren lassen und nicht einfach „weil es normal aussieht“ zustimmen.
Zusätzlich nennen die Forschenden Versuche, WPAD (Web Proxy Auto-Discovery) auszunutzen, das Windows nutzt, um Proxy-Einstellungen automatisch zu finden. In etwa einem Drittel der Fälle sollen die Angreifer auf solche Anfragen mit einer bösartigen Proxy-Autokonfigurationsdatei reagiert haben. Würde das funktionieren, könnten Windows-Anwendungen ihre Webanfragen über einen von den Angreifern kontrollierten Proxy leiten, was wiederum ermöglicht, Netzwerkverhalten mitzulesen oder umzulenken. ReliaQuest konnte dabei nicht abschließend bestätigen, ob diese WPAD-Variante im gesamten Feld erfolgreich war, aber sie zeigt die Richtung: Die Angreifer schauen nicht nur auf die Credentials, sondern versuchen, den Netzwerkpfad selbst zu beeinflussen. Genau deshalb hilft eine reine „Seite prüfen“-Strategie allein oft nicht, wenn der Redirect oder der Proxy-Einstieg schon vor der Interaktion mit dem eigentlichen Login passiert.
Auch scheinbar einfache Gegenmaßnahmen greifen im beschriebenen Muster nur begrenzt. Ein Wechsel auf einen öffentlichen DNS-Resolver wie 8.8.8.8 wirkt zwar intuitiv logisch, schützt jedoch nach Angaben von ReliaQuest nicht automatisch: Klassische DNS-Anfragen laufen unverschlüsselt über das Netzwerk, und ein kompromittiertes Gateway kann Antworten fälschen, bevor die Anfrage überhaupt beim öffentlichen Resolver ankommt. Das Gerät kann dadurch „plausibel“ glauben, es hätte den gewünschten Dienst kontaktiert, während die Appliance die Antwort zuerst liefert und den Client auf die Angreifer-Server lenkt. Verschlüsselte DNS-Varianten bieten grundsätzlich stärkeren Schutz, aber sie müssen korrekt im strikten Modus betrieben werden, damit das System nicht heimlich auf unverschlüsseltes DNS zurückfällt. Als praxistaugliche Absicherung empfehlen die Forschenden vor allem einen immer aktiven Full-Tunnel-VPN-Ansatz oder alternativ das Arbeiten über den Mobilfunk-Hotspot, um den Einfluss des Hotel-Gateways möglichst zu umgehen.
Für Unternehmen und Sicherheitsverantwortliche liegt die nächste Konsequenz weniger in „Reparaturen am Hotel-WLAN“ als in klaren, umsetzbaren Betriebsregeln für Reisende. Dazu gehört, vor dem Passwort-Input jede Microsoft-Login-Adresse vollständig zu prüfen und idealerweise über ein gespeichertes Bookmark bzw. direkt über die offizielle Anwendung zu gehen. Ebenso wichtig: Gerätefreigaben oder Device-Code-Prompts, die nicht zum eigenen Login-Timing passen, sollten nicht blind bestätigt werden; stattdessen ist eine kurze Rückfrage über einen vertrauenswürdigen IT-Kanal sinnvoll, bevor die Freigabe erfolgt. Technisch sollten Administratoren zudem Authentifizierungswege, die einen Device-Code-Fluss nicht zwingend benötigen, kritisch prüfen und WPAD dort deaktivieren, wo es für Geschäftsprozesse nicht gebraucht wird. Der Hintergrund ist simpel: Wenn ein Angreifer die Netzwerkumgebung kontrolliert, wird jeder Schritt, der „wie gewohnt“ aussieht, zur potenziellen Abkürzung. Mit Full-Tunnel-VPNs, Mobilfunk-Ausweichpfaden und konsequenter Token-/Prompt-Disziplin lässt sich das Risiko dagegen spürbar reduzieren, selbst wenn die WLAN-Umgebung kompromittiert ist.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Hotel-WLAN kapert Microsoft-365-Logins mit DNS-Umleitung und Phishing" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Hotel-WLAN kapert Microsoft-365-Logins mit DNS-Umleitung und Phishing" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Hotel-WLAN kapert Microsoft-365-Logins mit DNS-Umleitung und Phishing« bei Google Deutschland suchen, bei Bing oder Google News!