Cyberkriminelle nutzen unsichere WLAN-Netzwerke in Hotels und Flughäfen, um an Zugangsdaten von Firmenmitarbeitern zu gelangen. Die Angriffswelle läuft seit Juni.
Sicherheitsforscher von ReliaQuest haben eine gezielte Kampagne aufgedeckt, die sich gegen WLAN-Zugangspunkte in Hotels, Flughäfen und Konferenzzentren richtet. Im Visier: die Anmeldedaten von Geschäftsreisenden. Der am 23. Juli veröffentlichte Bericht zeigt: Die Angreifer nutzen gravierende Sicherheitslücken in der Netzwerkinfrastruktur öffentlicher Einrichtungen.
Angriff auf die Captive Portals
Die Taktik der Hacker ist raffiniert. Sie verschaffen sich Zugang zu den sogenannten Captive-Portal-Geräten – jenen Schnittstellen, über die sich Gäste in öffentliche WLANs einwählen. Die Angreifer nutzen dabei offene Verwaltungsschnittstellen wie SSH, SNMP oder Web-Portale, die oft nur mit schwachen oder standardmäßigen Passwörtern geschützt sind.
Haben die Kriminellen erst einmal Zugriff, manipulieren sie die DNS-Einstellungen der Router. Diese sogenannte DNS-Vergiftung leitet den Datenverkehr, der eigentlich zu Microsoft-365-Diensten führen soll, auf betrügerische Seiten um. Die Forscher identifizierten mehrere gefälschte Domains wie m365-owa[.]com, owa-ms365[.]com oder ms365-device[.]com.
Umgehung der Zwei-Faktor-Authentifizierung
Doch damit nicht genug: Die Angreifer setzen auf eine Kombination aus verschiedenen Methoden. Sie nutzen das Web-Proxy-Auto-Discovery-Protokoll (WPAD) aus und missbrauchen den Gerätecode-Authentifizierungsfluss von Microsoft. Ziel ist es, OAuth-Tokens zu erbeuten. Das Besondere: Mit diesen Tokens können die Hacker selbst eine Zwei-Faktor-Authentifizierung (MFA) umgehen.
Ob im Hotel-WLAN oder bei der Nutzung von Microsoft 365 – Datenschutz-Experten warnen vor unterschätzten Risiken außerhalb der Büromauern. Dieser kostenlose Guide bietet Unternehmen sofort einsetzbare Checklisten für sicheres mobiles Arbeiten. Bewährte Strategien und Vorlagen jetzt kostenlos verfügbar
Die Sicherheitsexperten sehen Parallelen zur Hackergruppe APT28, auch bekannt als FrostArmada oder Fancy Bear. Die Angriffe wurden bisher in den USA, Indien und Saudi-Arabien dokumentiert. Betroffen sind Unternehmen aus den Bereichen Finanzen, Gesundheitswesen, Rechtsdienstleistungen, Energie und Einzelhandel.
Schutzmaßnahmen für Geschäftsreisende
Wie können sich Unternehmen und ihre Mitarbeiter schützen? Die Experten empfehlen mehrere technische Vorkehrungen:
- Immer eingeschaltetes VPN: Ein Full-Tunnel-VPN verschlüsselt den gesamten Datenverkehr und umgeht manipulierte DNS-Einstellungen.
- Verschlüsseltes DNS: Der strikte Modus verhindert, dass lokale Netzwerkgeräte Anfragen abfangen oder umleiten können.
- Legacy-Protokolle deaktivieren: WPAD sollte auf Firmengeräten abgeschaltet werden. Der Gerätecode-Authentifizierungsfluss von Microsoft gehört blockiert, wenn er nicht geschäftskritisch ist.
- Manuelle URL-Prüfung: Mitarbeiter sollten angewiesen werden, Webadressen vor der Eingabe von Zugangsdaten genau zu überprüfen.
Die Manipulation von Login-Schnittstellen zeigt, wie gezielt Cyberkriminelle heute vorgehen, um die Compliance in Unternehmen zu untergraben. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Ihre Mitarbeiter rechtssicher schützen und gängige Datenschutz-Fallen im Home-Office und unterwegs vermeiden. Kostenlose Vorlagen und Checklisten für sofortige Umsetzung
Router-Sicherheit bleibt ein Dauerproblem
Der Bericht kommt zu einem Zeitpunkt, an dem die Sicherheit von Netzwerkhardware erneut in den Fokus rückt. Erst Anfang Juli hatte ASUS einen Notfall-Patch für eine kritische Sicherheitslücke veröffentlicht. Die Schwachstelle mit der Kennung CVE-2026-13385 erreichte einen CVSS-Score von 9,5 – die zweithöchste Risikostufe.
Betroffen sind bestimmte Firmware-Versionen der Reihen 3.0.0.4_386, 3.0.0.4_388 und 3.0.0.6_102. Die Lücke erlaubt es Angreifern, aus einer Man-in-the-Middle-Position heraus beliebige Befehle auszuführen. Grund sind fehlerhafte Zertifikats- und Integritätsprüfungen. Zwar gab es bis zum 15. Juli keine bestätigten Angriffe auf diese spezifische Schwachstelle – doch ASUS drängt auf eine sofortige Aktualisierung der Firmware.
