Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Przejęcie ustawień DNS w infrastrukturze obsługującej hotelowe i konferencyjne sieci Wi‑Fi to scenariusz, który łączy phishing, atak adversary-in-the-middle oraz nadużycie mechanizmów uwierzytelniania w Microsoft 365. W praktyce użytkownik łączy się z pozornie legalną siecią, wpisuje prawidłowy adres usługi, ale trafia na spreparowaną stronę logowania kontrolowaną przez napastnika.
To zagrożenie jest szczególnie istotne dla pracowników mobilnych, którzy podczas podróży służbowych korzystają z obcej infrastruktury sieciowej, pozostającej poza nadzorem firmowych zespołów bezpieczeństwa. W takich warunkach nawet poprawne nawyki użytkownika mogą nie wystarczyć, jeśli ruch zostanie przechwycony lub przekierowany już na poziomie bramy sieciowej.
W skrócie
Atakujący mieli modyfikować konfigurację DNS na urządzeniach obsługujących sieci Wi‑Fi w hotelach oraz obiektach eventowych, aby przekierowywać ofiary na fałszywe strony logowania Microsoft 365. Kampania nie wyglądała na ograniczoną do jednego sektora, lecz raczej na szeroko zakrojoną operację nastawioną na przechwytywanie danych uwierzytelniających pracowników podróżujących służbowo.
- celem były konta Microsoft 365 używane poza środowiskiem firmowym,
- atak wykorzystywał manipulację DNS na poziomie infrastruktury Wi‑Fi,
- w części przypadków obserwowano także nadużycie przepływu Device Code,
- dodatkowym elementem były próby wykorzystania mechanizmu WPAD.
Kontekst / historia
Opisywana kampania miała być aktywna co najmniej od czerwca 2026 roku i obejmować wiele lokalizacji w Stanach Zjednoczonych oraz wybrane regiony poza USA. Wśród potencjalnie dotkniętych organizacji wskazywano podmioty z sektorów finansowego, usług profesjonalnych, prawnego, ochrony zdrowia, energetyki i handlu detalicznego.
Z operacyjnego punktu widzenia wpisuje się to w szerszy trend wykorzystywania urządzeń brzegowych, routerów i bram sieciowych jako punktu wejścia do działań phishingowych oraz przechwytywania ruchu. Dla cyberprzestępców jest to model atrakcyjny, ponieważ umożliwia atakowanie użytkowników poza standardowo monitorowanym środowiskiem korporacyjnym. Podróże służbowe i uczestnictwo w konferencjach dodatkowo zwiększają liczbę logowań z nowych lokalizacji, co może utrudniać szybkie wychwycenie anomalii.
Analiza techniczna
Kluczowym etapem operacji było uzyskanie uprawnień administracyjnych do urządzeń zarządzających hotelowym lub konferencyjnym Wi‑Fi. Nie wskazano jednoznacznie wektora początkowego, jednak najbardziej prawdopodobne scenariusze obejmują przejęcie słabo zabezpieczonych interfejsów administracyjnych, takich jak SSH, SNMP czy panele WWW, albo wykorzystanie luk bezpieczeństwa w samych urządzeniach.
Po przejęciu kontroli nad bramą napastnik zmieniał ustawienia DNS. W efekcie zapytania kierowane do legalnych usług logowania mogły być rozwiązywane do adresów IP kontrolowanych przez atakującego. Dla ofiary cały proces wyglądał wiarygodnie, ponieważ próbowała ona otworzyć znany portal Microsoft 365, lecz trafiała na stronę phishingową imitującą prawdziwy ekran logowania.
Szczególnie groźnym elementem był wątek związany z przepływem Device Code. W takim wariancie użytkownik otrzymywał monit wyglądający na legalną prośbę o autoryzację. Jeśli zatwierdził żądanie, mógł w rzeczywistości autoryzować sesję zainicjowaną przez napastnika, co prowadziło do wydania prawidłowego tokenu OAuth dla klienta kontrolowanego przez przeciwnika. To istotnie zwiększa ryzyko, ponieważ atak nie musi opierać się wyłącznie na kradzieży hasła.
W części analizowanych przypadków odnotowano również próby nadużycia mechanizmu Web Proxy Auto-Discovery. Atakujący odpowiadał na automatyczne zapytania WPAD w systemie Windows, dostarczając złośliwy plik PAC. Gdyby ten etap zakończył się sukcesem, ruch aplikacji systemowych i przeglądarek mógłby zostać skierowany przez serwer proxy kontrolowany przez napastnika. Nie potwierdzono jednak jednoznacznie pełnej skuteczności tego elementu w badanych incydentach.
Warto podkreślić, że ręczne ustawienie publicznego serwera DNS nie zawsze zapewnia ochronę. Jeśli brama sieciowa ingeruje w nieszyfrowane zapytania DNS jeszcze przed ich opuszczeniem sieci lokalnej, użytkownik nadal może pozostać podatny na manipulację odpowiedziami.
Konsekwencje / ryzyko
Ryzyko dla organizacji jest wysokie, ponieważ przejęcie konta Microsoft 365 może otworzyć dostęp do poczty elektronicznej, plików w chmurze, kalendarzy, komunikacji biznesowej, kontaktów i dokumentów operacyjnych. W praktyce jedno skutecznie przejęte konto bywa wystarczające, aby rozpocząć dalsze działania, takie jak BEC, eskalacja uprawnień, ruch boczny czy przygotowanie kolejnych kampanii socjotechnicznych.
Dodatkowym wyzwaniem jest wykrywanie incydentu. Jeżeli użytkownik poda dane na wiarygodnie wyglądającej stronie lub zatwierdzi żądanie Device Code, organizacja może przez pewien czas nie obserwować oczywistych oznak kompromitacji. Logowanie może wyglądać legalnie, a tokeny OAuth mogą umożliwiać cichy i długotrwały dostęp do zasobów.
Na szczególne ryzyko narażeni są członkowie kadry kierowniczej, pracownicy sprzedaży, konsultanci, prawnicy, osoby z działów finansowych oraz wszyscy użytkownicy regularnie podróżujący i korzystający z sieci gościnnych. To grupy łączące wysoki poziom uprawnień z częstą ekspozycją na niezarządzane środowiska sieciowe.
Rekomendacje
Organizacje powinny traktować sieci hotelowe, konferencyjne i inne sieci publiczne jako środowiska wysokiego ryzyka. Jednym z najważniejszych środków ograniczających skutki tego typu ataku jest stosowanie trybu always-on VPN z pełnym tunelem, tak aby cały ruch użytkownika był natychmiast kierowany do zaufanej infrastruktury organizacji.
Warto również wdrożyć szyfrowany DNS w trybie wymuszonym, o ile pozwala na to architektura urządzeń i polityka bezpieczeństwa. Dodatkowo należy rozważyć wyłączenie WPAD na stacjach roboczych tam, gdzie nie jest potrzebny biznesowo, co zmniejsza ryzyko podstawienia złośliwej konfiguracji proxy.
Po stronie Microsoft 365 i Entra ID zasadna jest analiza, czy przepływ Device Code jest rzeczywiście niezbędny. Jeśli nie ma uzasadnienia biznesowego, jego wyłączenie ogranicza powierzchnię ataku. Równolegle należy monitorować logi pod kątem nietypowych autoryzacji, nowych rejestracji aplikacji, anomalii związanych z tokenami OAuth oraz logowań z nieoczekiwanych lokalizacji.
- wzmocnienie polityk dostępu warunkowego,
- wdrożenie phishing-resistant MFA tam, gdzie to możliwe,
- regularne przeglądy aktywnych sesji i tokenów,
- szkolenia użytkowników dotyczące ryzyka logowania przez sieci gościnne,
- procedury reagowania obejmujące unieważnianie sesji, reset haseł i przegląd zgód aplikacyjnych.
Z perspektywy administratorów obiektów hotelowych i konferencyjnych priorytetem powinno być ograniczenie ekspozycji interfejsów zarządzania, segmentacja sieci, aktualizacja firmware, silne uwierzytelnianie administracyjne oraz ciągły monitoring zmian konfiguracji DNS i ustawień proxy.
Podsumowanie
Opisana kampania pokazuje, że kontrola nad infrastrukturą dostępową Wi‑Fi może stać się skutecznym narzędziem do kradzieży tożsamości i przejmowania kont Microsoft 365. Atak nie wymaga bezpośredniej kompromitacji urządzenia końcowego ofiary, ponieważ wykorzystuje zaufanie do lokalnej sieci oraz możliwość przekierowania ruchu.
Połączenie manipulacji DNS, phishingu i nadużycia Device Code tworzy model zagrożenia szczególnie niebezpieczny dla organizacji opierających pracę na usługach chmurowych i mobilności pracowników. Dla zespołów bezpieczeństwa to wyraźny sygnał, że ochrona tożsamości musi obejmować nie tylko konto i urządzenie, ale także pełną nieufność wobec każdej niezarządzanej sieci pośredniczącej.
Źródła
- https://www.bleepingcomputer.com/news/security/hackers-hijack-hotel-wi-fi-dns-to-steal-microsoft-365-accounts/