Komoly figyelmeztetést adott ki a Microsoft azoknak, akik rendszeresen csatlakoznak szállodák, repülőterek vagy más nyilvános helyek ingyenes Wi-Fi-hálózataihoz. A vállalat szerint egy CaptiveCrunch névre keresztelt támadássorozat során orosz hackerek manipulált nyilvános vezeték nélküli hálózatokon keresztül próbálják ellopni a Microsoft-fiókokhoz tartozó bejelentkezési adatokat, miközben kártevőket is telepíthetnek az áldozatok eszközeire.
A Microsoft biztonsági szakemberei szerint a támadók manipulált DNS-lekérdezéseket használnak arra, hogy a felhasználókat hamis weboldalakra irányítsák át. Ezek a felületek megtévesztésig hasonlítanak a Microsoft hivatalos bejelentkezési oldalaira, így sokan észre sem veszik, hogy valójában adathalász oldalra kerültek.
A cég közlése szerint a kampányt már 2026 májusa óta figyelik, és a most közzétett részletek korábbi, júliusban megjelent biztonsági figyelmeztetéseket is megerősítenek. A támadások során például egy szállodai Wi-Fi-hálózatra csatlakozó felhasználót egy hamis Microsoft-bejelentkezési oldalra irányíthatnak, ahol a bűnözők megszerzik a készülékazonosítókat, valamint az OAuth-hitelesítési kódokat. Ezek birtokában akár teljes hozzáférést is szerezhetnek az adott Microsoft-fiókhoz.
A veszély azonban nem merül ki a jelszólopásban. A Microsoft szerint a támadók különféle kártevőket is telepíthetnek a kompromittált eszközökre. Ezek között olyan trójai programok is szerepelnek, amelyek képesek naplózni a billentyűleütéseket, figyelni a felhasználó tevékenységét, hozzáférni a webkamerához, érzékeny dokumentumokat és mentett jelszavakat továbbítani, valamint távoli hozzáférést biztosítani a támadóknak a fertőzött számítógéphez.
A vállalat egyelőre még vizsgálja, hogyan sikerül a támadóknak hozzáférniük ezekhez a nyilvános hálózatokhoz. A jelenlegi feltételezések szerint szerepet játszhatnak az úgynevezett captive portal rendszerek, vagyis azok a belépőoldalak, ahol a felhasználóknak el kell fogadniuk a Wi-Fi használati feltételeit, mielőtt internetkapcsolatot kapnának.
A Microsoft több érintett hálózat között is feltűnő hasonlóságokat talált az alkalmazott hálózati eszközök és felügyeleti rendszerek terén. Ez arra utalhat, hogy nem elszigetelt incidensekről van szó, hanem a támadók a captive portal infrastruktúra egyes közös szolgáltatásaihoz is hozzáférhettek.
A vállalat a CaptiveCrunch művelet mögött a Storm-2945 nevű hackercsoportot sejti, amely kapcsolatban állhat a Midnight Blizzard néven ismert kibercsoporttal. A biztonsági szakértők ezt a szervezetet korábban is az orosz Külföldi Hírszerző Szolgálathoz (SZVR) kötötték.
A Microsoft hangsúlyozza, hogy a nyilvános Wi-Fi-hálózatok használata eleve fokozott kockázatot jelent. Az ilyen hálózatokon nemcsak az adatforgalom lehallgatása könnyebb, hanem bizonyos esetekben a felhasználók fizikai tartózkodási helye vagy mozgása is nyomon követhető.
A vállalat azt tanácsolja, hogy utazás közben a szállodákban, konferenciákon, repülőtereken és más vendéghálózatokon működő Wi-Fi-ket alapértelmezés szerint tekintsük megbízhatatlannak. Amikor csak lehet, érdemes inkább saját mobilinternetet vagy telefonról megosztott hotspotot használni. Ha mégis elkerülhetetlen a nyilvános hálózat használata, erősen ajánlott VPN-t alkalmazni, amely titkosítja az adatforgalmat, jelentősen megnehezítve a támadók dolgát.
A Microsoft arra is figyelmeztet, hogy nyilvános Wi-Fi használata közben senki ne telepítsen szoftverfrissítéseket, tanúsítványokat vagy alkalmazásokat olyan felugró ablakokból vagy belépőoldalakról, amelyek a hálózathoz való csatlakozás során jelennek meg. Egy ilyen kattintás ugyanis elegendő lehet ahhoz, hogy a támadók átvegyék az irányítást az eszköz felett.
