ハッカーがホテルのWi-FiのDNSを乗っ取り、Microsoft 365アカウントを窃取

ハッカーがホテルや会議施設のWi-Fi機器のDNS設定を改ざんし、利用者を偽のMicrosoft 365ログインページへ誘導する手口が確認されています。

このキャンペーンは少なくとも2026年6月から続いており、金融サービス、専門サービス、法律、医療、エネルギー、小売など、さまざまな業界の組織に影響を及ぼしています。

サイバーセキュリティ企業のReliaQuestは、米国内の複数の都市に加え、インドやサウジアラビアといった他地域でも、侵害されたWi-Fiゲートウェイを確認したとしています。

こうした機器は企業イベントで利用されることが多いため、Microsoft 365アカウントが乗っ取られれば、攻撃者は機密性の高い業務情報やコミュニケーション、非公開の文書にアクセスできるようになる恐れがあります。

「私たちは、金融サービス、専門サービス、法律、医療、エネルギー、小売など、幅広い業界の組織からこれらの侵害されたゲートウェイへの通信を確認しました。これは特定の業界を狙ったものではなく、接続場所を問わず出張中の従業員を高い確度で狙うキャンペーンであることを裏付けています」とReliaQuestは述べています。

研究者らは、この活動がロシアのスパイ活動グループAPT28（別名Fancy Bear、Forest Blizzard）の犯行とされるFrostArmadaのルーター悪用キャンペーンと類似していると見ています。

攻撃の流れ

Wi-Fi機器への最初の侵入経路がどのようなものだったかは明らかになっていませんが、ReliaQuestによれば、攻撃者は保護が甘く外部に露出した管理インターフェース（SSH、SNMP、Web管理ダッシュボードなど）や脆弱性を悪用した可能性があるとしています。

攻撃者は管理者権限を取得すると、ゲートウェイのDNS設定を書き換え、正規のドメインへの接続を自らの支配下にあるインフラへリダイレクトできるようになります。

ReliaQuestによると、攻撃者は偽のMicrosoftログインポータルを設置するために、少なくともm365-owa[.]com、owa-ms365[.]com、ms365-device[.]com、ms365-live[.]comという4つのドメインを登録していたとのことです。

DNS設定が書き換えられた状態では、利用者が正規のMicrosoftログインポータルにアクセスしようとしても、実際にはハッカーのフィッシングページに誘導され、そこで認証情報を入力させられることになります。

一部のケースでは、研究者らはデバイスコード認証フローが悪用される様子も確認しています。この手口では、標的とされたユーザーが偽のMicrosoftページへリダイレクトされ、認証を求めるプロンプトが表示されます。

「ユーザーからは見えていませんが、このプロンプトを承認すると、実は攻撃者が開始したセッションを許可してしまうことになります」とReliaQuestは説明しています。研究者らは、この攻撃者主導のリクエストを承認してしまうと、正規のOAuthトークンが攻撃者のクライアントに対して発行されてしまうと指摘しています。

この手法では認証情報を盗んだりアクセストークンを傍受したりすることなく、多要素認証(MFA)による保護を回避できてしまいます。

調査したケースのおよそ3分の1では、攻撃者はさらにWeb Proxy Auto-Discovery(WPAD)の悪用も試みており、Windowsが自動的に行うWPADルックアップに対して、悪意のあるプロキシ自動設定(PAC)ファイルで応答していました。

理論上、これによりChromeを含むWindowsアプリからの通信が攻撃者の支配下にあるプロキシ経由でルーティングされることになりますが、ReliaQuestはこれらの攻撃が実際に成功したかどうかまでは確認できていません。

研究者らはまた、Googleの8.8.8.8のようなパブリックDNSサーバーを利用しても、この攻撃を防ぐことはできないと強調しています。ゲートウェイが平文のリクエストを、本来のリゾルバーに届く前に改ざんしてしまうためです。

ReliaQuestは、こうした攻撃に対する有効な防御策として、常時接続のフルトンネルVPNと、厳格モードでの暗号化DNSの利用を推奨しています。

さらに同社は、WPADを無効化すること、不審な活動がないかログを確認すること、そして不要な場合はMicrosoft Entra IDのデバイスコード認証フローを無効化することも推奨しています。