Trappola in albergo: attacco ai gateway Wi-Fi per rubare account Microsoft 365

Introduzione

Dal giugno 2026, una sofisticata campagna di cyberspionaggio prende di mira i professionisti in viaggio, sfruttando la compromissione dei gateway Wi-Fi di hotel e centri congressi. Gli aggressori manomettono le impostazioni DNS della rete per reindirizzare le vittime verso false pagine di accesso a Microsoft 365, con l’obiettivo di sottrarre credenziali o, peggio, token OAuth autenticati che eludono completamente l’MFA. La minaccia, rilevata dai ricercatori di ReliaQuest, mostra forti analogie con le operazioni “FrostArmada” attribuite al gruppo APT28 (Fancy Bear).

Analisi tecnica

L’attacco si sviluppa in più stadi. Inizialmente i criminali prendono il controllo dei gateway Wi-Fi, spesso abusando di interfacce di amministrazione (SSH, SNMP, pannelli web) esposte con credenziali deboli o firmware non aggiornato. Una volta all’interno, modificano i server DNS per dirottare le richieste verso domini Microsoft legittimi su server malevoli.

Quando un ospite accede alla rete e tenta di aprire Outlook o Teams, il DNS avvelenato lo conduce a un portale clone di Microsoft 365. Qui il malcapitato può inserire le proprie credenziali, immediatamente catturate. Ma l’aspetto più insidioso è l’uso del flusso device-code: l’attaccante presenta all’utente una schermata che lo invita a visitare una pagina reale di Microsoft (come microsoft.com/devicelogin) e a digitare un codice mostrato dalla pagina falsa. Così facendo, la vittima autorizza inconsapevolmente il rilascio di un token di sessione valido che include l’MFA già verificata. Il token permette un accesso persistente all’account, senza che una successiva modifica della password lo blocchi.

In parallelo è stato osservato un tentativo di abuso del protocollo WPAD (Web Proxy Auto-Discovery). Forzando l’uso di un proxy controllato, gli aggressori mirano a intercettare l’intero traffico web. L’efficacia di questa tecnica nella campagna non è stata confermata, ma dimostra la versatilità dell’offensiva.

I domini impiegati includono m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com e ms365-live[.]com, tipicamente registrati con servizi di hosting anonimi per ostacolare le indagini.

Impatto

La campagna ha colpito dipendenti in trasferta in Stati Uniti, India e Arabia Saudita, con un’elevata concentrazione nei settori dei servizi finanziari, studi professionali, legale, sanità, energia e retail. L’accesso non autorizzato agli account Microsoft 365 consente la lettura di email, il furto di documenti riservati e, potenzialmente, movimenti laterali verso la rete aziendale. Il furto di token costituisce un rischio ancora maggiore, poiché garantisce una presenza duratura anche dopo il reset della password. Le informazioni esfiltrate possono includere proprietà intellettuale, dati finanziari, contratti e dossier personali, con conseguenze legali e reputazionali.

Mitigazione

Per contrastare questa minaccia, le organizzazioni devono implementare un approccio a più strati:

• VPN full‑tunnel e DNS cifrato: imporre l’uso di una VPN aziendale che incapsuli tutto il traffico (senza split‑tunnel) e attivare DNS‑over‑HTTPS (DoH) o DNS‑over‑TLS (DoT) con configurazione rigorosa, così da impedire qualunque manomissione a livello di rete locale.
• Disabilitare WPAD: disattivare il rilevamento automatico del proxy sia sugli endpoint (criteri di gruppo su Windows) sia nei dispositivi di rete, bloccando le richieste WPAD.
• Bloccare il flusso Device Code: se non strettamente necessario, rimuovere la concessione device code in Microsoft Entra ID (portale Azure AD → Autenticazione → Flussi di concessione).
• Monitoraggio proattivo: analizzare i log delle sessioni Microsoft 365 alla ricerca di domini sospetti, accessi da località insolite o attivazioni di nuovi dispositivi.
• Proteggere i gateway Wi-Fi: per gli amministratori delle strutture, è vitale blindare le interfacce di gestione: disabilitare SSH, SNMP e l’interfaccia web se non indispensabili, applicare aggiornamenti firmware tempestivi e utilizzare credenziali robuste e univoche.
• Formare i viaggiatori: sensibilizzare il personale sull’importanza di non inserire mai credenziali aziendali al di fuori di una VPN sicura e di diffidare di pagine di login inattese.

FAQ

1. Perché l’autenticazione a più fattori non mi protegge da questo attacco?

Il flusso device‑code sfruttato dall’aggressore è un meccanismo di autenticazione legittimo pensato per dispositivi senza browser (es. smart TV). Quando la vittima, convinta dalla pagina falsa, visita /devicelogin e inserisce il codice, l’intera procedura – compresa la verifica MFA – avviene in modo autentico. Al termine, l’attaccante riceve un token che incorpora l’MFA già soddisfatta, ottenendo così un accesso indistinguibile da quello dell’utente reale.

2. Come posso riconoscere se il Wi-Fi dell’hotel è compromesso?

È quasi impossibile per un utente comune. Segnali possibili sono reindirizzamenti improvvisi verso pagine di login anomale, certificati SSL non validi o richieste di codici su siti esterni. La difesa più efficace resta l’assunzione che la rete sia ostile: attivare sempre una VPN full‑tunnel prima di qualunque operazione, assicurarsi che il DNS sia crittografato e non immettere mai le proprie credenziali in assenza di questi dispositivi.

3. Cosa deve fare un’azienda se sospetta che un dipendente sia stato vittima?

Occorre agire con rapidità:

• Revocare immediatamente tutti i token di sessione e forzare il reset della password in Microsoft Entra ID.
• Rimuovere eventuali applicazioni o dispositivi non autorizzati associati all’account.
• Esaminare i log delle ultime attività per individuare accessi anomali, inoltri di posta sospetti o creazione di regole.
• Allertare il team di sicurezza per un’indagine più estesa, perché l’attaccante potrebbe aver già esteso la compromissione ad altri sistemi.