WASHINGTON / LONDON (IT BOLTWISE) – Microsoft warnt Windows-Nutzer vor russischen Angreifern, die über Hotel-WLAN und Captive-Portale Geräte kompromittieren. Laut Microsoft sollten öffentliche Gastnetzwerke nicht als vertrauenswürdig gelten, weil Angreifer Verkehr manipulieren und Zugangsdaten sowie Gerätelogin-Codes abgreifen können. Betroffen seien vor allem Reisende, die sich ohne Mobilfunk-Hotspot oder andere private Verbindung in Portalgateways einloggen. Offen bleibt, wie schnell sich konkrete Schutzmaßnahmen in der Hospitality-Branche ausrollen lassen.
Wer im Jahr 2026 beruflich reist, steckt mit hoher Wahrscheinlichkeit irgendwann in einem Captive-Portal fest: Man verbindet sich mit dem WLAN des Hotels oder Veranstaltungsorts, wartet auf die Weiterleitung zur Anmeldeseite – und genau hier setzt die neue Warnung von Microsoft an. Das Unternehmen meldet, dass russisch zugeschriebene Angreifer Windows-PCs über Hotelnetzwerke kompromittieren könnten. Im Kern geht es nicht um „einfaches“ Phishing aus dem E-Mail-Postfach, sondern um Angriffe, die beim Netzwerk-Connect selbst ansetzen und damit den Nutzerfluss aushebeln, bevor ein legitimer Browser-Dialog überhaupt als verdächtig auffällt. Microsoft ordnet die Aktivitäten einer Kampagne zu, die CaptiveCrunch heißt, und verbindet diese mit einem Sub-Cluster namens Storm-2945.
Technisch betrachtet ist die Angriffsoberfläche überraschend pragmatisch: Captive-Portale sind dafür gebaut, Nutzer beim Eintritt in ein Gastnetz auf eine Webseite umzuleiten. Wenn ein Gateway oder der Redirect-Knoten manipuliert ist, entstehen „Beweis“-Momente, die sich wie normale Checks anfühlen – etwa gefälschte Verifikationsläufe, Sign-in-Prompts und angebliche Software-Updates. Das entscheidende Muster ist dabei die zeitliche Nähe: Die täuschende Seite erscheint genau in dem Moment, in dem der Nutzer ohnehin nur eine schnelle WLAN-Aktivierung erwartet. Dadurch sinkt die Chance, dass Sicherheitswarnungen oder URL-Prüfungen konsequent durchgeführt werden. Microsoft beschreibt zudem Varianten, die Malware direkt ausliefern und als Windows-Updates tarnen, was besonders im Kontext von Reise-IT problematisch ist, weil viele Systeme in dieser Phase schon sowieso „nebenbei“ nach Updates suchen.
Für Unternehmen und Security-Teams ist außerdem relevant, wie die Authentisierung getroffen werden kann. Microsoft beschreibt, dass Angreifer teils auf den legitimen Gerätelogin-Flow setzen: Sie initiieren einen Sign-in-Vorgang, überreden Nutzer dazu, einen Code einzugeben, den der Angreifer bereitstellt – und wenn die Anfrage genehmigt wird, stellt Microsoft gültige Authentifizierungstokens aus. Diese Tokens sind dann das „Eintrittsbillett“ für den Account, ohne dass die Angreifer zwingend ein Passwort stehlen oder Multi-Faktor-Authentifizierung direkt umgehen müssen. Das verschiebt die Schutzlogik weg von klassischen Credential-Diebstahl-Signaturen hin zu einem stärkeren Augenmerk auf OAuth-/Token-Ausstellung, Conditional Access und eine Authentifizierung, die selbst bei menschlicher Interaktion robust bleibt. Microsoft empfiehlt deshalb unter anderem, Conditional Access zu stärken sowie phishingsichere Authentifizierung zu verwenden und Device-Code-Authentifizierung zu blockieren, wenn sie nicht gebraucht wird.
Der Hintergrund, warum diese Kampagne gerade über Gastnetzwerke funktioniert, reicht weiter als der einzelne Vorfall. Microsoft ordnet an, dass CaptiveCrunch global über kompromittierte Gastnetzwerke ausgespielt wird – und verweist darauf, dass die Kampagne bereits seit Mai bekannt sei und Hospitality-Infrastrukturen sowie weitere Gastnetzwerke beeinflusst habe. Dass Captive-Portale in der Praxis oft als „Randrisiko“ behandelt werden, liegt an ihrer üblichen Rolle im Alltag: Ein Betriebssystem macht den eigentlichen Internetzugang scheinbar transparent, während die Portalseite selbst für viele Nutzer nicht als Sicherheitskomponente wahrgenommen wird. Daneben nennt Microsoft weitere Indizien: Der Threat-Intelligence-Zweig sieht Hinweise, dass das Vorgehen nicht nur auf Windows-Umgebungen begrenzt sein könnte. Konkret erwähnt das Unternehmen, dass Android-Geräte möglicherweise mit ähnlichen Techniken adressiert werden, etwa über ClickFix-Landingpages, die Anleitungen enthalten, um eine APK-Datei herunterzuladen und zu installieren.
Auch der Schadcode selbst wird in der Warnung deutlicher eingeordnet. Microsoft nennt für Windows den Remote-Access-Trojaner (RAT) CornFlake. Laut Beschreibung kann dieser Schadsoftware-Teil Tastatureingaben aufzeichnen, Dateien sammeln, Zugangsdaten sowie Session-Tokens stehlen und Screenshots erstellen. Darüber hinaus kann CornFlake Audio- und Videofunktionen des Geräts für Überwachung missbrauchen und bietet den Angreifern zugleich persistenten Zugriff. In der Praxis bedeutet das: Selbst wenn ein Nutzer glaubt, nur „kurz“ mit einer Portalseite interagiert zu haben, könnte das System bereits nachgelagert kompromittiert sein – besonders dann, wenn Updates oder vermeintliche Installationsdialoge gestartet wurden. Für IT-Leiter ist das deshalb weniger ein „Browser-Problem“ als ein Endpoint-Problem, bei dem Netzwerkumleitung, Authentisierung und persistente Kontrolle zusammenwirken.
Für die Risikosteuerung empfiehlt Microsoft Reisenden konkret, Gastnetzwerke wie Hotel-, Konferenz- oder Airport-WLANs nicht zu vertrauen. Als pragmatische Alternative nennt das Unternehmen die Nutzung von mobilen Hotspots, Mobilfunkverbindungen oder anderer privater Konnektivität – also genau jener Pfad, über den Captive-Portale typischerweise keine Kontrolle über den Redirect ausüben können. Daneben fordert Microsoft, Updates nicht über Captive-Portale anzustoßen, die Conditional-Access-Konfiguration gegen Missbrauch zu härten und phishingsichere Authentifizierung einzusetzen. Der Hinweis, Device-Code-Authentifizierung zu blockieren, wenn sie nicht erforderlich ist, wirkt dabei wie ein gezieltes Gegenmittel gegen das von Microsoft beschriebene „Code in Nutzerhand“-Verfahren. In der Organisation übersetzt sich das außerdem in eine Governance-Frage: Wer entscheidet, ob Device-Code-Funktionalität für bestimmte Teams gebraucht wird, und wie schnell kann eine Blockade auch während laufender Reise-Saisons ausgerollt werden?
Schließlich lohnt sich die Einordnung, dass Microsoft in der Warnung auch „KI-Unterstützung“ erwähnt. Das Unternehmen sagt, Storm-2945 setze KI ein, um CaptiveCrunch zu unterstützen. Ohne dass Microsoft hier technische Detailparameter offenlegt, ist die Aussage doch strategisch: KI kann bei der Erstellung glaubwürdiger Texte und Abläufe helfen, bei der Anpassung an Nutzerverhalten oder bei der Generierung von Varianten, die leichter unbemerkt bleiben. Das trifft weniger die reine Browser-Engine und mehr die Social- und Prozessschicht des Angriffs, also genau die Stellen, an denen menschliche Interaktion häufig nicht in Sicherheitsmodellen, sondern in Convenience-Workflows gedacht wird. Für Sicherheitsverantwortliche heißt das: Die Abwehr muss mehrstufig sein – Netzvertrauen reduzieren, Authentisierung härten, Endpoint-Risiken antizipieren und Anwenderpfade so gestalten, dass ein Captive-Portal nicht als akzeptabler „Log-in-Startpunkt“ wahrgenommen wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft warnt vor russischen Hackern über Hotel-WLAN und Captive-Portal-Angriffe" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft warnt vor russischen Hackern über Hotel-WLAN und Captive-Portal-Angriffe" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft warnt vor russischen Hackern über Hotel-WLAN und Captive-Portal-Angriffe« bei Google Deutschland suchen, bei Bing oder Google News!