LONDON (IT BOLTWISE) – Microsoft warnt vor einer neuen Angriffskampagne, bei der russisch-staatsnahe Akteure öffentliches WLAN in Flughäfen, Hotels und Konferenzzentren für Clickfix-Phishing missbrauchen. Laut Microsoft soll die Kampagne seit mindestens Anfang Mai die Login- bzw. Captive-Portal-Seiten der WLAN-Hotspots kapern, um Nutzer auf nachgebaute Microsoft-365-Oberflächen umzuleiten. Ein Schwerpunkt liegt darauf, Sitzungen auch ohne klassischen Passwortdiebstahl zu übernehmen, etwa über Gerätecode-Authentifizierung. Zusätzlich tarnt sich die Schadsoftware-Installation in gefälschten Browser- und Windows-Dialogen.
Wer sich im Urlaub schnell ins „Free Wi‑Fi“ einloggt oder auf Dienstreisen im Hotel zwischen zwei Terminen Mails checkt, überlässt Angreifern oft die Kontrolle über den ersten Netzschritt. Genau daran setzt die aktuelle Warnung von Microsoft an: Das Unternehmen beschreibt eine Kampagne, bei der staatlich beauftragte Akteure aus Russland versuchen, Zugangsdaten zu Microsoft‑365-Diensten über sogenannte Clickfix-Angriffe abzugreifen. Ziel ist dabei offenbar Wirtschaftsspionage, nicht „nur“ Betrug. Entscheidend ist weniger, dass das WLAN selbst kompromittiert wird, sondern wie der vermeintliche Zugang technisch in eine gefälschte Anmeldeseite umgelenkt wird.
Technisch betrachtet läuft das Muster über Captive-Portale: Viele öffentliche WLANs nutzen eine Login-Seite, die das System beim ersten Verbindungsaufbau anzeigt, um den Nutzer zu Authentifizieren oder Nutzungsbedingungen zu bestätigen. In der Microsoft-Schilderung versuchen die Angreifer, diese Captive-Portals zu kapern, etwa in der Umgebung von Flughäfen, Hotels oder Konferenzzentren. Sobald die zuständige Captive-Portal-Hardware geknackt ist, leiten die Angreifer Anfragen über eigene Infrastruktur um, typischerweise per DNS oder HTTP. Im Ergebnis landen die Opfer nicht auf einer echten Hotspot-Anmeldeseite, sondern auf Phishing-Seiten, die die Optik und Logik typischer Microsoft‑365-Anmeldungen nachahmen.
Für die Praxis besonders brisant ist, wie Microsoft die Angriffslogik bis in Authentifizierungsabläufe hinein beschreibt. Eine der Varianten bezieht sich auf die Gerätecode-Authentifizierung: Der Angreifer startet eine Anmeldesitzung, bringt das Opfer anschließend dazu, einen vom Angreifer bereitgestellten Code auf einer echten Microsoft-Seite einzugeben, und nutzt so die Autorisierung der Sitzung. Damit entsteht ein Szenario, in dem der Angreifer nicht zwingend ein Passwort oder einen Einmalcode „direkt“ stehlen muss, sondern die Nutzeraktion als Türschloss missbraucht. Im Hintergrund wird dadurch auch die Schutzwirkung der Zwei-Faktor-Authentifizierung unterlaufen, sofern der Angreifer die Sitzung in die richtige Richtung lenkt und der Nutzer die Bestätigung im guten Glauben ausführt.
Nachdem die Nutzer auf den Phishing-Seiten aktiv geworden sind, folgt laut Microsoft häufig die zweite Phase: gefälschte Systemmeldungen sollen den Download von Schadsoftware auslösen. Dazu zählen täuschende Benachrichtigungen, die so wirken, als stamme die Aufforderung von Browser-Funktionen oder aus dem Windows-Umfeld – etwa in Form von „Windows Update“, „Windows Defender“, „DirectX“ oder einer Netzwerkreparatur. Solche Tricks sind deshalb erfolgreich, weil Nutzer in öffentlichen WLANs ohnehin mit technischen Pop-ups rechnen und die Schwelle zur Installation sinkt, wenn die Meldung wie eine legitime Sicherheitsmaßnahme aussieht. Microsoft nennt zudem, dass nach dem erfolgreichen Installieren der Schadsoftware verschiedene Datenarten abgegriffen werden können, darunter Browser-Passwörter und Login-Daten, aber auch Mitschnitte wie Mikrofonaufnahmen, Tastatureingaben, Webcambilder oder Dateien.
Nicht nur Desktop-Systeme stehen dabei im Fokus: Microsoft erwähnt, dass neben Windows-basierten Rechnern auch Android-Smartphones angegriffen werden sollen. Das bleibt für viele Sicherheitsverantwortliche ein besonders kritischer Punkt, weil die Abwehrstrategie im Alltag häufig mit Windows-typischen Schutzmaßnahmen beginnt und Mobilgeräte dann als „zweite Ordnung“ behandelt werden. Gleichzeitig bleibt in der Microsoft-Darstellung eine zentrale technische Frage offen: Wie genau es den Angreifern gelungen ist, die Captive-Portal-Systeme in Hotels und Konferenzzentren zu kompromittieren. Denkbar sei laut Microsoft auch, dass eher ein übergeordneter Dienstleister und nicht jede einzelne Einrichtung direkt betroffen ist – diese Ungewissheit macht die Angriffsfläche für Betreiber größer und die Detektion schwerer, weil nicht jedes Hotel oder jeder Flughafen dieselbe Infrastruktur betreibt.
Für Unternehmen und Reisende leitet Microsoft daraus konkrete Verhaltensregeln ab. Wer mit vertraulichen Daten arbeitet, soll öffentliche WLAN-Zugangspunkte in Flughäfen, Hotels oder Konferenzzentren möglichst vermeiden. Stattdessen empfiehlt Microsoft, einen privaten Hotspot über das Smartphone zu nutzen oder eine dauerhafte VPN-Verbindung zu verwenden. Zusätzlich sollte man grundsätzlich keine Downloads, Updates, Zertifikate oder sonstigen Dateien akzeptieren, die während des Aufrufs eines Captive-Portals in öffentlichen Netzen angeboten werden. Das ist im Kern eine sehr pragmatische Sicherheitslinie: Selbst wenn ein Betreiber technisch alles richtig macht, kann die Verbindung auf dem Weg dorthin als Angriffsvektor dienen, sobald ein Captive-Portal kompromittiert oder manipuliert wird.
Einordnung und Ausblick: Die in der Microsoft-Warnung genannten Bezeichnungen ordnen das Geschehen in die bekannten Muster russisch verfolgter Cyber-Spionage ein. Benannt wird dabei unter anderem die Untergruppe „Storm‑2945“ sowie die übergeordnete Zuordnung „Midnight Blizzard“, die auch unter den Namen „Cozy Bear“, „APT29“ oder „Nobelium“ geführt wird. Für die Sicherheitsplanung heißt das vor allem, dass Teams die Risiken öffentlicher Netzwerke nicht nur auf „WLAN ist unsicher“ reduzieren sollten, sondern auf konkrete Prozessketten: Captive-Portals als Einstieg, Phishing-Seiten als Autorisierungsfalle, gefälschte Systemmeldungen als Malware-Trigger und anschließend mehrstufige Datenerfassung. Wer im Arbeitsalltag trotz Dienstreise nicht auf mobile Daten verzichten kann, sollte die VPN-Nutzung verbindlich operationalisieren und die Nutzer über die Gerätecode-Logik sowie „keine Downloads im Portal“-Regeln gezielt sensibilisieren – gerade dann, wenn KI-gestützte Assistenten in der Kommunikation zwar helfen, aber Social-Engineering-Abläufe nicht automatisch erkennen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft warnt vor Clickfix-Phishing in Airport- und Hotel-WLANs" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft warnt vor Clickfix-Phishing in Airport- und Hotel-WLANs" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft warnt vor Clickfix-Phishing in Airport- und Hotel-WLANs« bei Google Deutschland suchen, bei Bing oder Google News!