脅威アクターがホテルや会議施設のWi-Fiゲートウェイを侵害し、出張中の従業員からMicrosoft 365アカウントを窃取しています。フィッシングメールの送信やエンドポイントへの感染は一切必要としません。
このキャンペーンはDNSポイズニングを利用しており、場合によってはMicrosoftのデバイスコードフローの悪用も組み合わせて、ユーザーを攻撃者が管理するインフラへリダイレクトします。
この活動は少なくとも2026年6月から続いているとされています。米国の複数都市、インド、サウジアラビアの共用Wi-Fi環境が影響を受けています。
影響を受けたゲートウェイ経由で接続した端末は、金融サービス、法律、医療、エネルギー、小売、専門サービスなど幅広い業種の組織に及んでおり、このキャンペーンが特定の業界ではなく出張者そのものを狙っていることがうかがえます。
標的となっているのは、ホテルや会議施設、空港、コワーキングスペースなどでゲストのアクセスを制御するキャプティブポータル機器です。
攻撃者は、公開された管理サービスや脆弱・使い回しの認証情報などを通じて管理者権限を取得すると考えられ、これによってネットワーク上の全クライアントのDNS設定を変更できるようになります。
ゲートウェイでDNS応答をポイズニングすることで、攻撃者は正規のMicrosoftサインインドメインへのリクエストに対して自らが管理するIPアドレスを返し、被害者を気づかれないまま偽のMicrosoft 365ページへと誘導します。
DNSスプーフィングは、ユーザーを攻撃者の管理下にある悪意のあるサイトへリダイレクトすることを目的として設計された手法です。
ReliaQuestと関連する報告では、この攻撃活動においてm365-owa[.]com、owa-ms365[.]com、ms365-device[.]com、ms365-live[.]comを含むドメインが確認されています。
このインフラは、IPアドレス31.57.243[.]154、104.194.159[.]150、そしてDNSポイズニングの応答先アドレスである38.146.28[.]75と関連付けられています。
この手法が特に危険なのは、悪意のあるメールも添付ファイルもエンドポイントのエクスプロイトも一切必要としない点です。ゲートウェイが1台侵害されるだけで、そのDHCP経由のネットワーク設定を受け入れたすべてのゲスト端末が危険にさらされます。
この攻撃活動は、以前確認されたルーター標的型の活動、Fancy BearまたはForest Blizzardとしても知られるAPT28に帰属するとされる活動と手口の面で共通点があります。
共通点としては、ネットワーク機器の侵害、悪意のあるDNS設定変更、中間者攻撃(AiTM)手法、そしてMicrosoft 365の認証情報・トークン窃取が挙げられます。ただし、今回報告された活動については、APT28への帰属を裏付けるだけの直接的な技術的証拠は不足しています。
攻撃者は一部のWindowsおよびmacOSシステムに対して、Web Proxy Auto-Discovery Protocol(WPAD)の悪用も試みました。
WPADは、端末がネットワークに参加した後にプロキシ設定を自動取得できる仕組みです。悪意のあるゲートウェイは、端末を悪意のあるプロキシ自動構成ファイルへと誘導し、アプリケーションの通信を攻撃者のインフラ経由に振り向ける可能性があるとReliaQuestは述べています。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため意図的に無害化表記(defang、例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
SOC調査の死角をなくし、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を抑えましょう。
翻訳元: https://cyberpress.org/hotel-wi-fi-hijacks-microsoft-365-accounts/