Die staatsnahe russische Cybergruppe Midnight Blizzard konnte wohl weltweit WLAN-Portale von Hotels und Konferenzzentren kompromittieren. Gäste, die über diese WLAN-Zugänge ins Internet gingen, um auf M365-Zugänge zuzugreifen, wurden auf Phishing-Seiten sowie gefälschte Software-Update-Seiten umgeleitet. So wurden die Anmeldedaten, Sitzungstoken und andere sensible Daten gestohlen.
Sicherheitsanbieter Reliaquest hat den Sachverhalt bereits zum 23. Juli 2026 in diesem Beitrag aufgedeckt. Angreifer haben öffentliche WLAN-Gateways in Hotels, Konferenzzentren und anderen öffentlichen Einrichtungen kompromittiert, um die Konten von auf Geschäftsreise befindlichen Mitarbeitern zu kapern.
Sobald die Angreifer die Kontrolle über das WLAN-Gateway erlangt haben, leiten sie die Nutzer seit mindestens Juni 2026 unbemerkt auf eine von ihnen kontrollierte Infrastruktur um. Die Angreifer manipulieren dazu den DNS- und HTTP-Datenverkehr. Der Vorgang sieht für den Nutzer wie eine normale Verbindungsprüfung, ein Browser-Update oder eine Anmeldeseite aus.
ReliaQuest vermutet, dass die russische Militärgeheimdienstgruppe APT28 (auch bekannt als "Fancy Bear", "Midnight Blizzard" und "Forest Blizzard") hinter der noch laufenden, als CaptiveCrunch bezeichneten, Kampagne steckt. Ziel der Angriffe ist es, die Microsoft 365-Konten von Unternehmensmitarbeitern unbemerkt zu kompromittieren, ohne deren Geräte in die Finger zu bekommen oder auch nur eine einzige Phishing-E-Mail zu versenden.
Kompromittierte WLAN-Gateways wurden laut ReliaQuest in mehreren US-Städten sowie international in Indien und Saudi-Arabien, vor allem in Hotel- und Übernachtungs-Gewerbe gefunden. Ende Juli 2026 hat Microsoft den Sachverhalt im Beitrag CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theft öffentlich gemacht.
Unternehmen können die primäre Sicherheitslücke mit einer einzigen Maßnahme schließen, indem sie einen ständig aktiven Volltunnel-VPNs auf Unternehmensgeräten durchsetzen. Dadurch wird der gesamte Datenverkehr – einschließlich DNS – über das Unternehmensnetzwerk geleitet, bevor er das Hotel-Gateway erreicht. Dadurch wird der Angriff wirksam gestoppt.
MVP: 2013 – 2016
Am besten gar nicht erst mit den rontigen Hotel- und Gäste-Wifis verbinden. Selbst unlimitierte Mobilfunkverträge kosten nicht mehr die Welt. DNS over HTTPS (DoH) sollte man grundsätzlich nutzen. Sogar Windows beherrscht das out of the box.