Microsoft atribuyó formalmente a un grupo de hackers vinculado a la inteligencia exterior rusa una campaña que roba credenciales de Microsoft 365 a través de las redes WiFi de hoteles.
La operación fue bautizada CaptiveCrunch. El responsable, según la compañía, es Storm-2945, un subcluster del grupo Midnight Blizzard afiliado al Servicio de Inteligencia Exterior de Rusia (SVR).
El alcance es global. Microsoft advierte que puede afectar a cualquier persona que se conecte a redes WiFi de hoteles u otros establecimientos de hostelería.
Midnight Blizzard no es un actor nuevo. También conocido como Cozy Bear o APT29, es un grupo patrocinado por el Estado ruso y operado por el SVR; Storm-2945 es uno de sus subclusters operativos especializados.
Dónde empieza el engaño
El punto débil son los portales cautivos, esas pantallas de inicio de sesión que los hoteles usan para autenticar a los huéspedes en el WiFi. Su arquitectura permite que cualquier dispositivo conectado manipule el tráfico DNS y HTTP antes de que el usuario complete el login.
Sobre esa falla se monta el resto. Microsoft explica que los atacantes desvían a los usuarios hacia páginas de inicio de sesión falsas o ventanas emergentes fraudulentas, y los convencen de descargar archivos maliciosos disfrazados de actualizaciones o parches de software.
Una vez instalado el malware, el control del equipo es casi total. La compañía detalla que permite recopilar cookies del navegador, contraseñas y documentos, registrar las pulsaciones de teclado y capturar pantalla, audio y vídeo.
La lista no termina ahí: los atacantes pueden monitorear el portapapeles y tomar control remoto completo del dispositivo. El objetivo final, precisa Microsoft, es el robo de tokens y credenciales de acceso a cuentas de Microsoft 365.
La alerta toca de cerca a los empleados corporativos argentinos que viajan al exterior y abren sus cuentas de trabajo desde el WiFi de un hotel.
Qué recomienda la compañía
Microsoft sugiere priorizar conexiones privadas, como los puntos de acceso móvil, en lugar de las redes de huéspedes de los hoteles.
También pide desconfiar de solicitudes inesperadas de descargas y no introducir datos sensibles en portales de inicio de sesión que no ofrezcan garantías. A las organizaciones les recomienda instruir a sus empleados sobre los riesgos concretos de conectarse a estas redes.