Los viajeros que utilizan el Wi-Fi de los hoteles se enfrentan a una nueva amenaza vinculada a Midnight Blizzard, un grupo de amenazas relacionado con Rusia y conocido por el robo selectivo de credenciales.

La campaña abusa de las páginas de inicio de sesión confiables que utilizan los hoteles, los recintos de conferencias y otras redes compartidas para llegar a los viajeros de negocios.

En lugar de enviar un correo electrónico sospechoso, los atacantes manipulan la propia conexión de red. Las víctimas son redirigidas a través de un proceso de inicio de sesión de Wi-Fi falso y se les muestran avisos que parecen rutinarios, incluidos mensajes de actualización de software y páginas de inicio de sesión de cuentas en la nube.

Los analistas de Microsoft identificaron la actividad como CaptiveCrunch, advirtiendo que combina la redirección basada en la red con la entrega de malware y el robo de credenciales en la nube.

Microsoft señaló en un informe que la operación se dirige a viajeros de todo el mundo. La campaña es relevante porque aprovecha un momento en el que las personas están menos alertas.

Los huéspedes de los hoteles suelen conectarse rápidamente al Wi-Fi antes de las reuniones, mientras viajan o cuando la cobertura móvil es limitada, lo que convierte a una pantalla de inicio de sesión de red familiar en un señuelo eficaz.

Midnight Blizzard secuestra el Wi-Fi de los hoteles

Según se informa, Midnight Blizzard compromete o interfiere con la infraestructura de la puerta de enlace (gateway) del Wi-Fi del hotel, que controla el portal cautivo que se muestra antes de que los usuarios reciban acceso a Internet.

Al envenenar las respuestas DNS, los atacantes pueden dirigir el navegador de un viajero hacia una infraestructura que ellos controlan, en lugar de la página que el usuario esperaba.

El portal alterado puede imitar una página de acceso Wi-Fi normal, pero también puede lanzar una actualización de navegador falsa o un aviso del sistema.

Una vez aceptado, ese aviso conduce a la entrega de malware, creando un punto de entrada que puede usarse para robar datos, monitorear la actividad o preparar el dispositivo para accesos posteriores.

Esta técnica otorga a los atacantes una ventaja sobre el phishing ordinario porque la solicitud aparece mientras tú estás intentando conectarte a la red.

Un informe reciente sobre los riesgos de las puertas de enlace Wi-Fi comprometidas advirtió de manera similar que una sola puerta de enlace manipulada puede redirigir cada dispositivo conectado hacia páginas de recolección de credenciales.

Los atacantes también explotan el descubrimiento automático de proxy, conocido como WPAD, para influir en cómo un dispositivo envía el tráfico web.

Esto puede exponer la actividad de autenticación que los usuarios creen que está protegida, especialmente cuando los dispositivos corporativos están configurados para buscar automáticamente la configuración del proxy de red.

El uso de la infraestructura de redes públicas muestra cómo los actores de amenazas están yendo más allá de la ingeniería social basada en la bandeja de entrada.

Midnight Blizzard ha utilizado anteriormente tácticas de robo de credenciales a través de chats de Teams, pero CaptiveCrunch sitúa al atacante más cerca del dispositivo de la víctima al abusar de una red que la víctima ha decidido confiar.

Las cuentas en la nube se convierten en el premio

El objetivo final es el acceso a las cuentas en la nube, donde un único inicio de sesión robado puede exponer correos electrónicos, archivos, aplicaciones empresariales y datos de identidad.

Los atacantes pueden capturar contraseñas, tokens de sesión o información de autorización del dispositivo, lo que les permite acceder a los servicios sin necesidad de volver a utilizar el dispositivo físico de la víctima.

Este riesgo es especialmente grave para las organizaciones que dependen de sistemas de identidad en la nube para el trabajo remoto.

Una cuenta robada puede usarse para leer material confidencial, suplantar a un empleado, enviar mensajes internos o establecer un punto de apoyo para una intrusión mayor.

La actividad refleja una preocupación más amplia en torno a los ataques de phishing de tipo "adversario en el medio" (adversary-in-the-middle), donde los criminales interceptan el tráfico de autenticación e intentan vencer las protecciones comunes.

La autenticación de múltiples factores sigue siendo importante, pero las organizaciones no deben asumir que detendrá cada intento de robo de token o sesión. Microsoft recomendó tratar el Wi-Fi de hoteles y redes públicas como no confiables.

Tú, como viajero, deberías usar una VPN de túnel completo siempre activa antes de manejar trabajo confidencial, mientras que los equipos de seguridad deben revisar las reglas de túnel dividido que podrían permitir que el tráfico DNS o de autenticación evite las rutas corporativas protegidas.

Las organizaciones también deberían desactivar el WPAD donde sea innecesario y restringir la recuperación de la configuración del proxy a hosts internos aprobados.

El DNS cifrado en modo estricto puede ayudar a prevenir respuestas DNS maliciosas, mientras que los equipos de identidad pueden bloquear la autenticación por código de dispositivo donde no sea requerida.

Los empleados deben verificar las direcciones de los sitios web y las advertencias de certificados antes de introducir credenciales en una red de hotel.

Las empresas pueden reforzar esa guía a través de programas de concienciación que cubran los ataques de abuso de plataformas en la nube y asegurándose de que los usuarios sepan cómo reportar rápidamente los portales cautivos sospechosos.

Para los viajeros, la opción más segura es utilizar datos móviles para inicios de sesión confidenciales cuando sea posible. Si el Wi-Fi del hotel es necesario, debes conectarte primero a la VPN, evitar descargas inesperadas y detenerte inmediatamente si el navegador muestra una advertencia de privacidad o de certificado.