Sicherheitsforscher von ReliaQuest haben eine Kampagne aufgedeckt, bei der Kriminelle WLAN-Gateways in Hotels und Konferenzzentren übernehmen, um Zugangsdaten zu Microsoft-365-Konten abzugreifen. Betroffen sind demnach Systeme in US-Städten sowie in Indien und Saudi-Arabien. Die Aktivität läuft den Angaben zufolge mindestens seit Juni 2026.

Das Besondere an der Methode: Betroffene Mitarbeitende müssen weder auf einen Phishing-Link klicken noch einen Anhang öffnen. Es reicht, sich mit dem WLAN eines Hotels oder einer Tagungsstätte zu verbinden, in dem die Angreifer bereits die Kontrolle über das zentrale Gateway übernommen haben.

Wie die Angreifer ins Netzwerk gelangen

Nach Einschätzung von ReliaQuest verschaffen sich die Täter Zugriff über schlecht abgesicherte Verwaltungsschnittstellen der Gateways, etwa offene SSH- oder SNMP-Zugänge sowie schwache oder wiederverwendete Admin-Passwörter. Eine endgültige technische Bestätigung dafür liegt den Forschern zwar nicht vor, das Muster ähnelt aber einer früheren, im April 2026 gestoppten Kampagne namens "FrostArmada", die SOHO-Router betraf.

Ist das Gateway erst einmal kompromittiert, reicht ein einziger Zugriff aus, um sämtliche Gäste eines Netzwerks gleichzeitig anzugreifen. Das Gerät verwaltet schließlich die DNS-Auflösung für alle angeschlossenen Geräte – wer hier die Kontrolle hat, entscheidet, wohin der Datenverkehr tatsächlich geht.

DNS-Manipulation als Kern der Attacke

Über sogenanntes DNS-Poisoning lenken die Angreifer Anfragen an eigentlich legitime Adressen wie "login.microsoftonline.com" auf eigene Server um. Dort warten gefälschte Anmeldeseiten, die dem Microsoft-365-Login täuschend ähnlich sehen. Vier dafür registrierte Domains, darunter "owa-ms365.com" und "ms365-live.com", konnten die Forscher demselben Akteur zuordnen.

Gängige Schutzmaßnahmen greifen hier oft nicht: Auch wer einen fest eingestellten DNS-Server wie den von Google nutzt, ist nicht automatisch sicher, da die Anfrage unverschlüsselt über das kontrollierte Gateway läuft. Nur ein vollständig getunnelter VPN-Zugang oder verschlüsseltes DNS im sogenannten Strict-Modus verhindert laut ReliaQuest zuverlässig, dass die Anfrage überhaupt beim manipulierten Gateway ankommt.

Zusätzliche Angriffswege

In etwa einem Drittel der untersuchten Fälle versuchten die Angreifer zudem, die automatische Proxy-Erkennung WPAD von Windows-Geräten zu missbrauchen. Gelingt das, lässt sich der gesamte Anwendungsverkehr eines Geräts über einen fremden Proxy umleiten, was die Angriffsfläche erheblich vergrößert. Ob dieser Weg tatsächlich erfolgreich war, konnten die Forscher in den beobachteten Fällen nicht abschließend bestätigen.

Brisanter ist ein weiterer Trick: Die Täter nutzten in Einzelfällen den sogenannten Device-Code-Flow von Microsoft, um Anmeldedaten komplett zu umgehen. Betroffene sehen dabei einen scheinbar normalen Anmeldedialog, bestätigen damit aber unwissentlich eine vom Angreifer initiierte Sitzung – inklusive gültiger Tokens, die selbst eine Mehrfaktor-Authentifizierung aushebeln.

ReliaQuest sieht in der Vorgehensweise Parallelen zur russischen Gruppe APT28, auch bekannt als "Fancy Bear" oder "Forest Blizzard", ordnet die aktuelle Kampagne aber nicht eindeutig derselben Gruppe zu. Als wirksamsten Schutz empfehlen die Analysten Unternehmen vor allem eine verpflichtende, vollständig getunnelte VPN-Verbindung für alle Firmengeräte sowie die Deaktivierung des Device-Code-Flows in der Identitätsverwaltung.