Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Publiczne sieci Wi‑Fi od lat pozostają istotnym wektorem zagrożeń, jednak obecnie obserwowany model ataku wykracza poza klasyczny phishing czy podsłuch ruchu. W najnowszych incydentach napastnicy przejmują kontrolę nad infrastrukturą sieci gościnnych w hotelach i centrach konferencyjnych, a następnie wykorzystują zatrucie DNS do przekierowywania użytkowników na fałszywe strony logowania Microsoft 365.
To szczególnie niebezpieczny scenariusz typu adversary-in-the-middle, ponieważ nie wymaga instalowania malware na urządzeniu ofiary ani rozsyłania wiadomości phishingowych. Użytkownik trafia na spreparowaną stronę w trakcie normalnego korzystania z hotelowej sieci, często bez oczywistych oznak ataku.
W skrócie
Kampania obserwowana od czerwca 2026 roku koncentruje się na kompromitacji bram captive portal obsługujących sieci Wi‑Fi dla gości. Po przejęciu urządzenia atakujący zyskują możliwość kontrolowania odpowiedzi DNS dla wszystkich podłączonych użytkowników i kierowania ich do infrastruktury podszywającej się pod usługi Microsoft 365.
- atak obejmuje hotele, centra konferencyjne i inne obiekty współdzielone,
- celem są głównie pracownicy podróżujący służbowo,
- stosowane techniki obejmują DNS poisoning, WPAD oraz device-code flow,
- skutkiem może być przejęcie kont, tokenów sesyjnych i dostępu do usług SaaS.
Kontekst / historia
Ataki na urządzenia sieciowe nie są nowością, ale dotychczas częściej dotyczyły routerów SOHO lub niewłaściwie zabezpieczonych urządzeń brzegowych w małych organizacjach. Przeniesienie podobnych technik do sektora hotelarskiego oznacza znaczące zwiększenie skali zagrożenia, ponieważ jeden skompromitowany gateway może objąć jednocześnie wielu użytkowników przebywających w danym obiekcie.
Badacze wskazują także podobieństwa taktyczne do wcześniejszych kampanii przypisywanych grupom prowadzącym operacje ukierunkowane na przejmowanie tożsamości i ruchu sieciowego. Na obecnym etapie należy jednak mówić raczej o zbieżności technik, taktyk i procedur niż o jednoznacznie potwierdzonej atrybucji.
Analiza techniczna
Punktem wejścia do infrastruktury miały być wystawione do internetu interfejsy administracyjne gatewayów, takie jak SSH, SNMP lub panele webowe, zabezpieczone słabymi albo współdzielonymi poświadczeniami. Po uzyskaniu dostępu administracyjnego napastnik może zmienić sposób rozwiązywania nazw DNS i wpływać na ruch wszystkich klientów korzystających z przejętej sieci.
Mechanizm działania jest prosty i skuteczny. Użytkownik łączy się z hotelowym Wi‑Fi i automatycznie korzysta z resolvera DNS wskazanego przez infrastrukturę obiektu. Jeżeli gateway został przejęty, odpowiedzi DNS mogą zostać podmienione, a ofiara zamiast do legalnej usługi Microsoft trafia na kontrolowaną przez przestępców stronę imitującą logowanie Microsoft 365.
Istotne jest to, że nawet ręczna konfiguracja publicznego resolvera nie zawsze zapewnia ochronę. Jeżeli zapytania DNS nie są szyfrowane, przejęty element infrastruktury nadal może je przechwycić lub zmanipulować. W praktyce oznacza to, że samo wskazanie zewnętrznego DNS bez dodatkowych zabezpieczeń nie rozwiązuje problemu.
Dodatkowym komponentem kampanii było nadużycie WPAD, czyli mechanizmu automatycznego wykrywania konfiguracji proxy. Kontrolując odpowiedzi DNS lub odpowiednie opcje DHCP, napastnik może wskazać złośliwy plik PAC i skierować znaczną część ruchu aplikacyjnego przez własny serwer proxy. Poszerza to zakres ataku poza samo logowanie do usług Microsoft i umożliwia dalsze przechwytywanie ruchu oraz danych uwierzytelniających.
W wybranych przypadkach odnotowano także wykorzystanie device-code flow. W takim scenariuszu użytkownik widzi pozornie prawidłowy proces autoryzacji, ale w rzeczywistości zatwierdza sesję zainicjowaną przez atakującego. To pozwala uzyskać ważne tokeny OAuth i dostęp do konta nawet wtedy, gdy organizacja stosuje uwierzytelnianie wieloskładnikowe.
Konsekwencje / ryzyko
Największym ryzykiem jest możliwość masowego przejmowania kont pracowników korzystających z publicznych sieci podczas podróży służbowych. Jeden zainfekowany lub przejęty gateway może objąć wszystkich użytkowników podłączonych do sieci gościnnej, co czyni ten model wyjątkowo efektywnym z perspektywy napastnika.
Skutki nie ograniczają się do utraty hasła. Przejęcie tokenów sesyjnych albo skuteczne nadużycie device-code flow może zapewnić dostęp do poczty, plików, kalendarzy, kontaktów i zintegrowanych aplikacji firmowych. W praktyce otwiera to drogę do wycieku danych, oszustw BEC, dalszej eskalacji uprawnień oraz utrwalenia obecności w środowisku ofiary.
Dodatkowym wyzwaniem pozostaje wykrywanie takich incydentów. Ruch sieciowy może wyglądać pozornie normalnie, a aktywność proxy wymuszona przez WPAD nie zawsze generuje oczywiste alerty. Bez korelacji logów DNS, zdarzeń uwierzytelniania i telemetryki z urządzeń końcowych organizacja może wykryć problem dopiero na etapie późniejszych działań przestępców.
Rekomendacje
Najskuteczniejszym środkiem ochrony pozostaje wdrożenie always-on VPN w trybie full-tunnel dla wszystkich urządzeń korporacyjnych. Dzięki temu cały ruch, w tym zapytania DNS, jest kierowany najpierw do zaufanej infrastruktury organizacji, a nie do sieci hotelowej.
Równie ważne jest wymuszenie szyfrowanego DNS w trybie ścisłym, bez możliwości przełączenia na nieszyfrowany fallback. Organizacje powinny zweryfikować, czy konfiguracja obejmuje nie tylko przeglądarkę, ale również usługi systemowe i aplikacje korzystające z natywnego stosu sieciowego.
W środowiskach, które nie potrzebują automatycznego wykrywania proxy, warto całkowicie wyłączyć WPAD za pomocą polityk centralnych. Jeżeli mechanizm ten jest niezbędny, źródła plików PAC powinny być ograniczone do zatwierdzonych hostów wewnętrznych, a wszelkie odwołania do nieznanych adresów traktowane jako potencjalny incydent.
Z perspektywy zarządzania tożsamością należy rozważyć ograniczenie lub wyłączenie device-code flow tam, gdzie nie jest on wymagany biznesowo. Ogranicza to możliwość nadużywania legalnego mechanizmu autoryzacji do pozyskiwania sesji uwierzytelnionych MFA.
W obszarze detekcji warto monitorować:
- anomalne odpowiedzi DNS dla domen związanych z logowaniem Microsoft,
- uwierzytelnienia pochodzące z nietypowych hostów proxy,
- nieoczekiwane rejestracje urządzeń w Microsoft Entra ID,
- sesje zestawiane z nietypowych lokalizacji lub identyfikatorów aplikacji,
- pobrania plików PAC i aktywność usług związanych z konfiguracją proxy.
Nie można też pomijać edukacji użytkowników. Pracownicy powinni być świadomi, że żądanie ponownego logowania do usług firmowych w hotelu, na lotnisku czy podczas konferencji może być elementem ataku, nawet jeśli nie otrzymali żadnej wiadomości phishingowej.
Podsumowanie
Ataki na hotelowe Wi‑Fi pokazują wyraźnie, że przejęcie infrastruktury pośredniczącej może być skuteczniejsze niż klasyczny phishing wymierzony w pojedynczą osobę. Kompromitacja gatewaya captive portal umożliwia masowe zatruwanie DNS, przekierowywanie ofiar na fałszywe strony Microsoft 365, nadużywanie WPAD oraz wykorzystywanie device-code flow do uzyskiwania ważnych sesji.
Dla zespołów bezpieczeństwa kluczowy wniosek jest praktyczny: sama MFA i szkolenia użytkowników nie wystarczą do ochrony pracowników mobilnych. Potrzebne są kontrole sieciowe i tożsamościowe zakładające, że publiczna infrastruktura dostępowa jest nieufna z definicji.