Gefahr in Hotel-WLANs: Russische Hacker klauen Microsoft-365-Logins

Mutmaßlich russische Hacker manipulieren derzeit gezielt öffentliche WLAN-Netzwerke in Hotels, um an Microsoft-365-Zugangsdaten von Geschäftsreisenden zu gelangen. Die Täter leiten den Datenverkehr dabei über gefälschte Vorschaltseiten unbemerkt um.

Gefahr im Hotel-WLAN

Seit Juni 2026 manipulieren mutmaßlich russische Angreifer gezielt öffentliche WLAN-Netzwerke in Hotels und Konferenzzentren. Das Ziel der Kampagne ist der Diebstahl von Microsoft-365-Zugangsdaten. Betroffen sind vor allem Geschäftsreisende aus verschiedenen Branchen in den USA, Indien und Saudi-Arabien. Die Täter kapern dabei die sogenannten Captive Portals. Das sind die typischen Vorschaltseiten der Netzwerke. Darüber leiten sie den Datenverkehr der verbundenen Geräte unbemerkt um.

Als Einfallstor dienen offenbar schwache Administrator-Passwörter oder ungeschützte Verwaltungsoberflächen der Netzwerkgeräte vor Ort. Haben die Kriminellen erst einmal Zugriff, setzen sie auf das sogenannte DNS-Poisoning. Bei dem Verfahren manipuliert das System die Auflösung von Domainnamen. Anstatt auf der echten Anmeldeseite von Microsoft zu landen, leitet das Netzwerk die ahnungslosen Opfer direkt auf täuschend echt wirkende Fälschungen um.

Tricks zur MFA-Umgehung

Wie das Sicherheitsunternehmen Reliaquest in einer aktuellen Analyse berichtet, nutzen die Täter fortschrittliche Methoden, um bewährte Sicherheitsmechanismen auszuhebeln. Ein zentrales Element ist der Missbrauch des Device-Code-Flows. Die Funktion ist eigentlich für Geräte ohne eigene Tastatur gedacht, etwa für smarte Monitore in Konferenzräumen. Das Verfahren ermöglicht den Angreifern jedoch die direkte Umgehung der Multi-Faktor-Authentifizierung bei den Zielen.

Zusätzlich versuchen die Täter bei Windows-Systemen das Web-Proxy-Auto-Discovery-Protokoll auszunutzen. Über den Standard suchen Computer normalerweise automatisch nach Proxy-Einstellungen im lokalen Netzwerk. Gelingt die Manipulation, leitet das Betriebssystem sämtlichen Anwendungsverkehr über einen kontrollierten Server der Kriminellen. Die Experten vermuten hinter der Kampagne die staatlich unterstützte russische Gruppierung APT28, die auch unter dem Namen Fancy Bear auftritt.

Schutzmaßnahmen für Nutzer

Die Angriffsmethode ist besonders gefährlich, da sie keine direkte Kompromittierung der Endgeräte erfordert. Ein klarer Vorteil für IT-Verantwortliche ist jedoch, dass sich Unternehmen sehr effektiv schützen können. Der konsequente Einsatz einer Full-Tunnel-VPN-Verbindung leitet den gesamten Datenverkehr sicher verschlüsselt am manipulierten Router des Hotels vorbei. Die Kriminellen haben in dem Fall keine Chance, den Netzwerkverkehr abzufangen.

Zusätzlich empfiehlt es sich, verschlüsseltes DNS im strikten Modus zu verwenden und das genannte Protokoll auf Firmengeräten komplett zu deaktivieren. Administratoren sollten zudem prüfen, ob der Device-Code-Flow in der Cloud-Umgebung zwingend erforderlich ist und ihn andernfalls serverseitig blockieren. Weiterhin sind Nutzer angehalten, die Adresse der Anmeldeseiten vor der Passworteingabe genau zu kontrollieren.

Nutzt ihr auf Geschäftsreisen konsequent ein VPN oder vertraut ihr den Hotel-Netzwerken? Welche Sicherheitsmaßnahmen sind in euren Unternehmen Pflicht? Teilt eure Erfahrungen in den Kommentaren!


Siehe auch: