Hotel-WLAN-Angriffe: Hacker entwenden Microsoft-365-Daten seit Juni

In den vergangenen Tagen haben Sicherheitsforscher von ReliaQuest eine koordinierte Cyber-Kampagne aufgedeckt, die gezielt die WLAN-Infrastruktur von Hotels kompromittiert. Ziel der Angreifer ist es, die Microsoft-365-Anmeldedaten von Hotelgästen zu entwenden. Den Analysen zufolge ist diese Operation bereits seit Juni 2026 aktiv und nutzt Sicherheitslücken in den Gateways von Hotel-Netzwerken aus, um Reisende auf manipulierte Seiten umzuleiten.

Manipulation von DNS-Einstellungen und gefälschte Domains

Der Mechanismus hinter den Angriffen basiert auf der Manipulation von DNS-Einstellungen (Domain Name System) direkt auf den Hotel-Wi-Fi-Gateways. Durch diesen Eingriff ist es den Tätern möglich, den Internetverkehr der Nutzer unbemerkt zu steuern. Wenn Gäste versuchen, auf legitime Dienste zuzugreifen, werden sie stattdessen auf gefälschte Anmeldeseiten geleitet, die den originalen Microsoft-365-Oberflächen täuschend echt nachempfunden sind.

Die Forscher identifizierten in diesem Zusammenhang eine Reihe von bösartigen Domains, die speziell für diese Kampagne registriert wurden. Dazu gehören unter anderem Adressen wie m365-owa[.]com, owa-ms365[.]com sowie ms365-device[.]com und ms365-live[.]com. Diese Webseiten dienen als Phishing-Plattformen, um die Zugangsdaten der Opfer abzugreifen, während diese im Glauben sind, sich in ihre gewohnten Arbeitsumgebungen einzuloggen.

Umgehung der Multi-Faktor-Authentifizierung

Eine besondere technische Herausforderung stellt die Umgehung der Multi-Faktor-Authentifizierung (MFA) dar, die in vielen Unternehmen inzwischen Standard ist. Die Angreifer setzen hierfür auf den sogenannten Device-Code-Flow. Bei diesem Verfahren generiert der Angreifer einen Autorisierungscode und fordert das Opfer auf, diesen auf einer legitimen Microsoft-Seite einzugeben. Da das Opfer die Eingabe auf der echten Plattform vornimmt, wird kein Verdacht geschöpft. Sobald der Code bestätigt ist, erhält der Angreifer ein OAuth-Token. Dieses Token erlaubt den Zugriff auf das Konto, ohne dass das Passwort oder ein zweiter Faktor vom Angreifer selbst eingegeben werden müssen.

Phishing-Angriffe wie der Missbrauch des Device-Code-Flows zeigen, wie manipulativ Cyberkriminelle heute vorgehen. Dieser kostenlose Leitfaden hilft Unternehmen dabei, solche Attacken frühzeitig zu stoppen und die eigene Infrastruktur abzusichern. In 4 Schritten zum sicheren Unternehmen: Anti-Phishing-Paket jetzt gratis herunterladen

Zusätzlich beobachteten die Experten, dass in etwa einem Drittel der untersuchten Vorfälle versucht wurde, das WPAD-Protokoll (Web Proxy Auto-Discovery) zu missbrauchen. Dies unterstreicht die technische Tiefe der Kampagne, da WPAD oft zur automatischen Konfiguration von Proxy-Einstellungen in Unternehmensnetzwerken genutzt wird und bei Fehlkonfigurationen ein erhebliches Sicherheitsrisiko darstellt.

Betroffene Branchen und geografische Schwerpunkte

Die Auswertung der Angriffsziele deutet auf eine gezielte Spionage hin. Besonders häufig gerieten Organisationen aus den Sektoren Finanzdienstleistungen, Rechtswesen und Gesundheitswesen ins Visier. Ebenso wurden Unternehmen aus der Energiebranche sowie dem Einzelhandel als Betroffene identifiziert. Die geografische Ausbreitung der Kampagne konzentriert sich den Berichten nach bislang vor allem auf die USA, Indien und Saudi-Arabien.

Obwohl die verwendeten Taktiken, Techniken und Verfahren (TTPs) Ähnlichkeiten mit den Aktivitäten der bekannten Gruppierung APT28 aufweisen, verzichtet ReliaQuest auf eine direkte Zuschreibung an diesen Akteur. Dennoch verdeutliche die Professionalität des Vorgehens, dass es sich um eine ernstzunehmende Bedrohung für Geschäftsreisende handelt.

Ob auf Dienstreisen oder im Büro – die Bedrohung durch professionelle Hackerangriffe nimmt stetig zu. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken proaktiv schließen und Ihr Unternehmen ohne hohe Investitionen schützen können. Gratis-E-Book: Cyber Security Bedrohungen abwenden und das Unternehmen schützen

Empfohlene Sicherheitsvorkehrungen für Reisende

Angesichts der laufenden Kampagne raten Experten zu verstärkten Sicherheitsmaßnahmen bei der Nutzung öffentlicher oder hoteleigener Netzwerke. Eine zentrale Empfehlung ist der Einsatz eines Full-Tunnel-VPNs, das den gesamten Datenverkehr verschlüsselt und so vor lokalen Manipulationen im Hotelnetzwerk schützt. Darüber hinaus sollte die Nutzung von streng verschlüsselten DNS-Diensten in Erwägung gezogen werden.

Auf der administrativen Seite wird Unternehmen empfohlen, potenziell anfällige Funktionen wie WPAD und den Device-Code-Flow innerhalb ihrer Microsoft-365-Umgebungen zu deaktivieren, sofern diese nicht explizit für den Geschäftsbetrieb benötigt werden. Diese präventiven Schritte könnten das Risiko eines erfolgreichen Identitätsdiebstahls während Dienstreisen signifikant senken.

de | wissenschaft | 69879422 |