Hotel-WLAN-Angriff: Russische Hacker stehlen Microsoft-365-Daten

Eine russische Hackergruppe nutzt manipulierte Hotel-WLAN-Netze, um an Zugangsdaten von Geschäftsreisenden zu gelangen. Die Angreifer täuschen Login-Seiten von Microsoft vor und schleusen Schadsoftware ein.

Die Kampagne mit dem Namen „CaptiveCrunch" läuft nach Erkenntnissen von Microsofts Sicherheitsexperten seit Mai 2026 – erste Aktivitäten reichen bis in den Februar zurück. Im Visier: Microsoft-365-Konten von Hotelgästen, vor allem Geschäftsreisenden. Dahinter steckt der staatlich unterstützte Akteur Storm-2945, der auch unter den Namen Midnight Blizzard oder APT29 bekannt ist. Für europäische Unternehmen ist die Bedrohung besonders relevant, da die Gruppe traditionell auch Ziele in Deutschland und der EU ins Visier nimmt.

Täuschend echte Login-Seiten

Die Angriffsmethode ist ausgeklügelt: Die Hacker manipulieren die DNS- und HTTP-Weiterleitungen in den Anmeldeportalen von Hotel-WLANs. Wer sich einwählen will, landet statt auf der gewünschten Seite auf gefälschten Microsoft-Login-Masken oder fingierten Update-Hinweisen. Die Betrugsseiten imitieren dabei Systemmeldungen wie „winupdate", „defender" oder „directx" – aber auch Aufforderungen zu Browser- oder PDF-Viewer-Updates kommen zum Einsatz.

Die Technik dahinter nennt sich „ClickFix": Nutzer werden durch scheinbar harmlose Dialogfelder dazu gebracht, schädliche Inhalte zu bestätigen. Die Angreifer setzen zudem auf sogenannte Doppelgänger-Domains, die legitimen Adressen zum Verwechseln ähnlich sehen.

Zwei Schadprogramme im Einsatz

Gelingt die Täuschung, installieren die Angreifer eine von zwei Schadsoftware-Varianten: CornFlake, einen in Go programmierten Remote-Access-Trojaner, der dauerhaften Zugriff auf das Gerät ermöglicht, oder ChocoShell, einen PowerShell-basierten Datendieb. Die Werkzeuge erlauben es den Angreifern, Tastatureingaben mitzulesen, Screenshots anzufertigen und sogar Audio- oder Videoaufnahmen zu aktivieren. In einigen Fällen können sie das kompromittierte Gerät vollständig fernsteuern.

Wer sich mit den Gefahren durch manipulierte Login-Seiten und Datenklau befasst, sollte über moderne Alternativen zu klassischen Passwörtern nachdenken. Dieser kostenlose Report zeigt, wie Sie sich mit Passkeys bei Diensten wie Amazon oder Microsoft ohne Sicherheitsrisiko anmelden können. Passkeys als sichere Alternative jetzt gratis entdecken

Unabhängige Forscher von ReliaQuest haben kompromittierte WLAN-Zugangspunkte in den USA, Indien und Saudi-Arabien identifiziert. Welche Hotels konkret betroffen sind, ließ Microsoft offen.

Schutz für unterwegs

Sicherheitsexperten raten Reisenden, Hotel-WLAN grundsätzlich als unsichere Umgebung zu behandeln. Wer sich einwählt, sollte niemals sofort auftauchende Update-Aufforderungen bestätigen oder Software installieren. Sinnvoller ist es, auf den mobilen Hotspot des Smartphones zurückzugreifen. Wer auf das Hotel-WLAN angewiesen ist, sollte eine VPN-Verbindung mit Kill-Switch nutzen – sie beendet die Verbindung automatisch, wenn der Schutz abreißt.

Zusätzlich empfehlen Experten, Multi-Faktor-Authentifizierung für alle Konten zu aktivieren und die Gerätecode-Authentifizierung zu deaktivieren. Diese Funktion, die bei Microsoft-Konten standardmäßig aktiviert ist, können Angreifer nutzen, um die Anmeldesicherheit zu umgehen.

Da Hacker zunehmend Schwachstellen beim mobilen Zugriff auf Konten ausnutzen, ist ein umfassendes Sicherheitskonzept für das Smartphone unerlässlich. Ein kostenloser Ratgeber bietet fünf konkrete Maßnahmen, mit denen Sie Ihr Gerät wirksam gegen unbefugte Zugriffe absichern. 5 Schutzmaßnahmen für Ihr Smartphone kostenlos herunterladen

Das Problem ist bekannt: Viele Reisende klicken Anmelde- und Update-Aufforderungen im Hotel-WLAN gedankenlos weg, um möglichst schnell ins Internet zu kommen. Genau dieses Verhalten macht sich die Kampagne zunutze. Wer unerwartete Authentifizierungsanfragen während des Einwählvorgangs erhält, sollte misstrauisch werden und die Verbindung abbrechen.

de | wissenschaft | 69916953 |