Хакеры начали красть учетные записи через Wi-Fi в отелях

Злоумышленники взламывают сетевые шлюзы отелей и конференц-центров, после чего подменяют DNS-ответы для всех подключенных гостей. Кампания продолжается как минимум с июня 2026 года, а зараженное оборудование обнаружили в нескольких городах США, Индии и Саудовской Аравии.

После подключения к Wi-Fi пользователь может открыть привычный адрес Microsoft 365, но попасть на подконтрольную атакующим страницу. В расследовании ReliaQuest фигурируют домены, имитирующие сервисы Microsoft. Атака не требует фишингового письма или заражения ноутбука: достаточно доверия к DNS-серверу гостиничной сети.

В отдельных случаях применялся вход по коду устройства. Пользователь подтверждал авторизацию на внешне легитимной странице, после чего злоумышленник получал действующие OAuth-токены для Microsoft 365, в том числе после прохождения многофакторной аутентификации. Примерно в трети наблюдений также предпринимались попытки использовать WPAD для перенаправления трафика Windows и macOS через вредоносный прокси.

Тактика напоминает кампанию FrostArmada, в которой APT28 меняла DNS-настройки взломанных домашних и офисных маршрутизаторов. Эту активность ранее описывали Microsoft и Национальный центр кибербезопасности Великобритании. Однако новую серию атак напрямую с APT28 пока не связали: совпадают методы, но не инфраструктура.

Основной защитой назван постоянно включенный VPN с полным туннелированием, который направляет через корпоративную сеть в том числе DNS-запросы. Организациям также рекомендуют отключать WPAD и вход по коду устройства там, где эти функции не нужны.