Microsoft avertizează turiștii: hackerii atacă prin Wi-Fi-ul hotelurilor. Semnul care trebuie să te pună imediat în gardă

Microsoft le recomandă turiștilor și persoanelor care călătoresc în interes de serviciu să evite, pe cât posibil, rețelele Wi-Fi publice, după identificarea unei campanii informatice care a compromis infrastructura de internet a unor hoteluri și a altor spații destinate călătorilor.

Operațiunea a fost denumită CaptiveCrunch și este atribuită de Microsoft grupării Storm-2945, considerată o ramură a Midnight Blizzard. Gruparea, cunoscută și sub numele APT29 sau Cozy Bear, este asociată de autoritățile americane și britanice cu Serviciul de Informații Externe al Rusiei – SVR.

Microsoft Threat Intelligence susține că atacurile sunt „răspândite, dar țintite” și au fost observate de la începutul lunii mai 2026. Au fost identificate rețele Wi-Fi compromise în mai multe țări, inclusiv în hoteluri, centre de conferințe și alte spații care folosesc pagini speciale pentru autentificarea oaspeților.

Cum este transformat Wi-Fi-ul hotelului într-o capcană

Atacul începe atunci când turistul se conectează la rețeaua Wi-Fi și este direcționat către așa-numitul „captive portal” – pagina pe care utilizatorii trebuie, de regulă, să introducă numărul camerei, adresa de e-mail sau să accepte termenii de utilizare.

Hackerii manipulează traficul DNS și HTTP al rețelei și redirecționează utilizatorii către pagini controlate de ei. În locul unei simple confirmări a conexiunii, victima poate primi un mesaj care susține că trebuie să instaleze o actualizare pentru Windows, browser, drivere sau un program de securitate.

Fereastra falsă poate apărea exact în momentul conectării, ceea ce o face să pară legitimă. Utilizatorul poate crede că hotelul îi cere actualizarea programelor pentru a-i permite accesul la internet.

În realitate, fișierul descărcat poate instala un program de acces de la distanță denumit CornFlake. Malware-ul se copiază pe dispozitiv, își creează mai multe mecanisme de pornire automată și se ascunde sub denumiri care imită procese legitime ale sistemului Windows.

Ferestrele false care trebuie să ridice suspiciuni

Microsoft a identificat mai multe tipuri de ecrane folosite pentru a distrage atenția victimei în timp ce programul malițios este instalat. Acestea pot imita:

• o actualizare Windows, cu mesajul „Working on updates… Don’t turn off your computer”;
• o scanare Microsoft Defender;
• instalarea DirectX;
• instalarea Microsoft Visual C++;
• un program pentru optimizarea discului;
• instrumentul Windows Network Diagnostics;
• o actualizare pentru browser;
• instalarea unui program pentru vizualizarea documentelor PDF.

Alte pagini pot pretinde că Google a detectat „trafic neobișnuit” și că utilizatorul trebuie să își verifice identitatea. Victimei i se poate cere să copieze și să execute o comandă în Windows Terminal, Command Prompt sau PowerShell.

Astfel de instrucțiuni nu reprezintă verificări normale ale conexiunii la internet. Microsoft avertizează că solicitările de tip „copiază și rulează această comandă” trebuie tratate drept tentative de infectare.

Ce pot fura hackerii de pe dispozitiv

Odată instalat, programul CornFlake le poate oferi atacatorilor control extins asupra calculatorului. Potrivit analizei Microsoft, hackerii pot:

• înregistra tastele apăsate, inclusiv parolele;
• monitoriza conținutul copiat în clipboard;
• face capturi de ecran;
• activa microfonul și camera video;
• căuta și copia documente, arhive, imagini, cod sursă, e-mailuri și chei de criptare;
• extrage parolele și cookie-urile salvate în browsere;
• monitoriza dispozitivele USB conectate;
• executa de la distanță comenzi în Windows.

O altă componentă, denumită ChocoShell, este specializată în furtul parolelor, cookie-urilor de sesiune, datelor de autentificare Wi-Fi și tokenurilor folosite pentru conectarea la Microsoft 365.

Furtul cookie-urilor și al tokenurilor este deosebit de periculos deoarece, în anumite situații, atacatorii pot accesa conturile fără să mai introducă parola victimei.

Microsoft a identificat și indicii că atacatorii încearcă să vizeze telefoane cu Android, utilizatorilor fiindu-le prezentate instrucțiuni pentru descărcarea și instalarea unui fișier APK.

Conturile Microsoft 365, o țintă importantă

Unele victime sunt direcționate către pagini care imită serviciile Microsoft sau către un proces aparent legitim de autentificare cu un cod pentru dispozitiv.

Atacatorii inițiază autentificarea pe propriul dispozitiv, apoi îi cer victimei să introducă un cod pe pagina reală Microsoft. Utilizatorul crede că își autorizează laptopul, dar aprobă, de fapt, sesiunea controlată de hackeri.

În cazul unui cont profesional, atacatorii ar putea obține acces la e-mailurile din Microsoft 365, fișierele din OneDrive și alte date ale companiei. Microsoft arată că integrarea acestei metode în pagina de conectare la Wi-Fi poate face solicitarea să pară mai credibilă.

Cum se pot proteja turiștii

Microsoft recomandă ca rețelele wireless din hoteluri, aeroporturi, centre de conferințe și alte spații publice să fie considerate nesigure.

Cea mai sigură variantă este folosirea conexiunii mobile proprii, prin hotspot, cartelă eSIM sau un dispozitiv separat de internet mobil. Utilizatorii nu ar trebui să instaleze actualizări, certificate, programe de securitate sau instrumente de reparare a conexiunii prezentate după accesarea unei rețele Wi-Fi publice.

Actualizările pentru Windows și pentru aplicații trebuie realizate exclusiv din meniurile oficiale ale sistemului de operare sau direct din aplicațiile respective, nu din ferestre apărute în browser.

De asemenea, utilizatorii nu ar trebui să folosească parola contului profesional pe pagina de conectare a hotelului și nici să introducă un cod Microsoft primit în mod neașteptat. Autentificarea multifactor și cheile de acces de tip passkey pot limita riscurile, însă aprobarea unei solicitări frauduloase poate permite în continuare compromiterea contului.

Microsoft le recomandă companiilor să analizeze ce informații oferă angajații hotelurilor și organizatorilor de conferințe atunci când se conectează la rețelele pentru oaspeți. Date precum numele companiei, funcția ocupată, adresa profesională de e-mail și detaliile călătoriei îi pot ajuta pe atacatori să selecteze ținte valoroase.