キャプティブポータル型ネットワークを運用する組織の公衆Wi-Fiゲートウェイ機器が何者かによってハッキングされ、出張中の企業従業員が持つMicrosoft 365アカウントを侵害する目的で悪用されていることが、ReliaQuestの報告で明らかになりました。
一連の攻撃では、侵害された小規模オフィス・在宅勤務(SOHO)向けルーターのDNS設定が改ざんされ、ユーザーが攻撃者の管理するインフラへとリダイレクトされることで、認証情報が窃取されていました。
この活動は少なくとも2026年6月から続いており、APT28(Forest BlizzardやFancy Bearとしても知られ、ロシア軍参謀本部情報総局(GRU)との関連が指摘される国家支援型グループ)の犯行とされる、以前確認されたFrostArmadaキャンペーンと類似しています。
攻撃者はAitM(Adversary-in-the-Middle)手法を用いることで、被害者の通信を傍受し、認証情報やその他の機密情報を窃取できる状態にありました。
ReliaQuestによると、今回新たに確認された活動には、米国・インド・サウジアラビア各地のホテルや会議施設といった共用施設で使用されているWi-Fiゲートウェイのハッキングが関与していました。
同社は、空港、会議施設、医療機関、大学、イベント会場など、キャプティブ型のWi-Fiサービスを運用するあらゆる組織が同様の攻撃対象になり得ると警告しています。
ReliaQuestは次のように指摘しています。「金融サービス、専門サービス、法律、医療、エネルギー、小売など、幅広い業種の組織からこれらの侵害されたゲートウェイへの通信を確認しました。これは特定業種を狙った攻撃ではなく、出張中の従業員がどこで接続しても標的にされる可能性が極めて高いキャンペーンであることを裏付けています」
同社は、Microsoftになりすました偽の誘導ページを表示するために攻撃者が使用した、攻撃者自身が登録した4つのドメインを特定しています。
FrostArmadaキャンペーンとは異なり、今回の新たな攻撃ではDNSポイズニングを使ってすべてのユーザーを攻撃者管理下のインフラへリダイレクトしており、ReliaQuestは「これはAPT28よりも巧妙さや慎重さに欠ける攻撃者である可能性を示す兆候かもしれない」と述べています。
全体として、今回のキャンペーンで観測された戦術・技術・手順(TTP)は、この脅威アクターが少なくともAPT28の手口を流用していることを示唆していますが、FrostArmadaと完全に一致するわけではありません。
ReliaQuestは次のように述べています。「キャプティブポータル型機器、特にホテルや会議施設で使用されているものを標的にする手口は、これまでのFrostArmadaに関する報告では確認されていませんでした。攻撃者のインフラも過去のFrostArmadaの活動とは異なっていました。使用されたドメイン登録情報やIPアドレスは、過去のAPT28キャンペーンで確認されたインフラとは一致しません」
翻訳元: https://www.securityweek.com/hacked-public-wi-fi-gateways-used-to-harvest-corporate-credentials/
