Una sola puerta de enlace Wi-Fi de hotel comprometida puede redirigir silenciosamente a todos los huéspedes a servidores controlados por atacantes, poniendo en riesgo las cuentas corporativas incluso cuando tú creas que navegas de forma segura.

La campaña comienza con una idea sencilla que muchos viajeros pasan por alto. Cuando te conectas al Wi-Fi de un hotel o de una conferencia, confías en que esa puerta de enlace gestione tu tráfico con honestidad.

En este caso, los atacantes abusan de esa confianza para desviar discretamente las solicitudes web de cada huésped a través de una infraestructura que ellos controlan, sin necesidad de alertas de malware ni correos electrónicos de phishing.

Se ha observado actividad en varias ciudades de Estados Unidos, India y Arabia Saudita, afectando a huéspedes de sectores como finanzas, legal, salud, energía y comercio minorista.

Reliaquest afirmó en un informe que identificaron esta campaña como parte de una expansión más amplia de las técnicas de envenenamiento de DNS, pasando de routers de pequeñas oficinas a grandes redes hoteleras.

El equipo de Investigación de Amenazas de Reliaquest señala que la metodología parece similar a las técnicas vinculadas a APT28, también conocido como Fancy Bear y Forest Blizzard, que anteriormente atacaban routers SOHO alterando la configuración de DNS.

En ambos casos, los atacantes cambian la forma en que funciona el DNS en la puerta de enlace para que cualquier dominio que tú intentes visitar sea respondido silenciosamente con una dirección IP propiedad del atacante y páginas que imitan a las de Microsoft.

Este comportamiento se asemeja estrechamente a varios patrones de ataques de DNS peligrosos y muestra cómo el envenenamiento de caché sigue siendo una herramienta poderosa en los ataques modernos.

El impacto es amplio y sutil. Un solo dispositivo de portal cautivo comprometido se sitúa en el borde de la red para cada dispositivo de huésped, lo que significa que una sola intrusión exitosa puede redirigir el tráfico de cada portátil y teléfono que se conecte ese día.

Para las organizaciones que dependen del Wi-Fi público, este riesgo se parece mucho a un secuestro de DNS clásico, pero escalado a través de la infraestructura del hotel en lugar de routers domésticos, lo que recalca los consejos básicos de seguridad en línea para ti y tu familia sobre evitar actividades sensibles en redes compartidas.

Una puerta de enlace Wi-Fi comprometida

El núcleo del ataque es el compromiso de la puerta de enlace. Reliaquest evalúa que los atacantes probablemente explotan interfaces de gestión expuestas, como SSH orientado a internet, SNMP o consolas de administración web, utilizando credenciales débiles o reutilizadas para obtener acceso administrativo a los dispositivos del portal cautivo.

Una vez dentro, modifican la configuración de DNS para que cada cliente de la red reciba respuestas falsificadas que apuntan a servidores controlados por el atacante en lugar de a los dominios legítimos de Microsoft.

Ese único cambio convierte la puerta de enlace en un adversario en el medio para todos los huéspedes. Cada empleado que se conecta a la red del hotel tiene su tráfico enrutado a través de la infraestructura del atacante sin ningún contacto directo con su dispositivo.

No hay ningún enlace de phishing en el que hacer clic ni ningún archivo adjunto malicioso; el usuario simplemente abre un navegador y ve una página de inicio de sesión de Microsoft lo suficientemente convincente como para confiar en ella.

Reliaquest observó que los atacantes registraron dominios como m365-owa.com, owa-ms365.com, ms365-device.com y ms365-live.com, servidos desde las direcciones IP 31.57.243.154 y 104.194.159.150.

Estos dominios suplantan los servicios de Microsoft y se utilizan para capturar credenciales o abusar del flujo de código de dispositivo de Microsoft, otorgando a los atacantes tokens de OAuth y acceso con multifactor satisfactorio a Microsoft 365 sin robar contraseñas directamente.

Ese abuso del flujo coincide con patrones donde los avisos de inicio de sesión legítimos se convierten en secuestros de sesión silenciosos.

En aproximadamente un tercio de los casos observados, el atacante también intentó abusar del Descubrimiento Automático de Proxy Web (WPAD) para que los dispositivos Windows obtuvieran un archivo de configuración automática de proxy malicioso y enrutaran silenciosamente más tráfico a través de proxies del atacante.

Para las víctimas, esto a menudo parece tráfico HTTPS normal en los registros, lo que facilita que las organizaciones lo pasen por alto si no revisan rutinariamente los registros de autenticación de proxy en busca de hosts e IPs desconocidos.

Cómo defenderte contra el envenenamiento de DNS en Wi-Fi de hoteles

El informe de Reliaquest subraya que el uso de una VPN siempre activa con configuración de túnel completo es una de las formas más efectivas de detener este ataque, ya que garantiza que todas las solicitudes de DNS pasen por los resolvedores corporativos de confianza antes de llegar a la puerta de enlace del hotel.

Esta defensa se alinea con la guía de que el Wi-Fi público debe tratarse como no confiable y combinarse con una VPN. Las organizaciones también deberían auditar las excepciones de túnel dividido (split tunneling) que podrían permitir que el tráfico de DNS o de autenticación evite la VPN, y aplicar políticas que bloqueen el acceso a internet hasta que el túnel esté activo.

El DNS cifrado en modo estricto es el segundo control clave. Reliaquest señala que muchas herramientas de cifrado de DNS de endpoints vienen por defecto en modo oportunista, lo que permite volver al texto plano cuando la resolución cifrada falla.

Ese retroceso se convierte en el punto débil que la puerta de enlace puede redirigir, por lo que cambiar a DNS sobre HTTPS (DoH) o DNS sobre TLS (DoT) en modo estricto elimina la oportunidad del atacante de falsificar respuestas.

Más allá de los controles de red, Reliaquest recomienda desactivar WPAD donde no sea necesario y restringir la recuperación de archivos de configuración automática de proxy a hosts internos aprobados si la detección automática de proxy debe permanecer habilitada.

También aconsejan a las organizaciones entrenar a sus empleados para que verifiquen las URLs y los certificados antes de introducir credenciales en cualquier página, especialmente cuando utilicen el Wi-Fi de hoteles o conferencias.

Finalmente, las organizaciones pueden cerrar la ruta del código de dispositivo bloqueando el flujo de autenticación de código de dispositivo en el proveedor de identidad utilizando políticas de Acceso Condicional en Microsoft Entra ID.

Reliaquest señala que este flujo tiene pocos usos legítimos para la mayoría de los usuarios, por lo que desactivarlo por defecto elimina una ruta poderosa de compromiso de cuentas que los atacantes ya han utilizado en campañas donde las víctimas completan la autenticación multifactor y luego pierden sus sesiones.