Öffentliche WLAN-Netze in Hotels und Konferenzzentren gelten seit Jahren als Sicherheitsrisiko. Nun warnt Microsoft vor einer besonders ausgefeilten Angriffswelle, die gezielt Reisende ins Visier nimmt. Nach Angaben des Unternehmens manipulieren mutmaßlich russische Hacker öffentliche Netzwerke, um Nutzer mit gefälschten Update-Hinweisen und täuschend echt nachgebauten Anmeldeseiten zur Preisgabe sensibler Daten zu bewegen.
Die von Microsoft beobachtete Kampagne trägt den Namen „CaptiveCrunch“. Sie wird der Hackergruppe Storm-2945 zugeschrieben, die Microsoft als Untergruppe von Midnight Blizzard einordnet. Diese Gruppe ist auch unter den Bezeichnungen APT29 oder Cozy Bear bekannt. Westliche Sicherheitsbehörden bringen sie mit dem russischen Auslandsgeheimdienst SVR in Verbindung.
Nach den vorliegenden Angaben beobachtet Microsoft die Aktivitäten bereits seit mindestens Mai 2026.
Manipulierte WLAN-Anmeldeseiten als Einfallstor
Die Angreifer setzen offenbar dort an, wo sich Reisende häufig in Sicherheit wiegen: beim Einloggen in ein Hotel-WLAN.
Normalerweise öffnet sich nach der Verbindung mit einem öffentlichen Netzwerk eine sogenannte Captive-Portal-Seite, auf der etwa Zimmernummer, Name oder Zugangscode eingegeben werden müssen. Genau diesen Mechanismus machen sich die Angreifer zunutze.
Microsoft zufolge manipulieren die Hacker DNS- und HTTP-Anfragen innerhalb kompromittierter WLAN-Infrastrukturen. Statt auf der eigentlichen Anmeldeseite landen Betroffene auf gefälschten Seiten, die wie legitime Systemmeldungen wirken.
Dort werden Nutzer beispielsweise aufgefordert, angeblich notwendige Browser-Updates, Windows-Aktualisierungen, Zertifikate oder Sicherheitsprogramme zu installieren.
Was wie eine harmlose technische Routine aussieht, kann jedoch der Beginn einer vollständigen Kompromittierung des Geräts sein.
Gefälschte Microsoft-365-Seiten sollen Zugangsdaten stehlen
Neben falschen Update-Hinweisen nutzen die Angreifer offenbar auch nachgebaute Microsoft-365-Anmeldeseiten.
Wer dort seine Zugangsdaten eingibt, übermittelt Benutzername und Passwort möglicherweise direkt an die Täter. Besonders gefährlich ist das für Geschäftsreisende, die über Hotel-WLANs auf Unternehmens-E-Mails, Cloud-Dienste oder interne Systeme zugreifen.
Damit geht es nicht nur um private Daten einzelner Reisender. Kompromittierte Firmenzugänge können im schlimmsten Fall zum Ausgangspunkt für Angriffe auf ganze Unternehmen werden.
Schadsoftware kann Computer umfassend ausspionieren
Besonders brisant ist die Schadsoftware, die über die manipulierten WLAN-Netze verteilt werden soll.
Microsoft nennt unter anderem ein Programm mit dem Namen „CornFlake“. Dabei soll es sich um einen vollwertigen Fernzugriffstrojaner handeln. Ist das Schadprogramm erst einmal installiert, können Angreifer weitreichende Kontrolle über den betroffenen Rechner erhalten.
Nach den beschriebenen Funktionen kann die Malware Tastatureingaben protokollieren, Screenshots erstellen und auf Mikrofon und Webcam zugreifen. Außerdem soll sie Browser-Passwörter und gespeicherte Cookies auslesen können.
Damit könnten Täter nicht nur Zugangsdaten stehlen, sondern auch aktive Anmeldesitzungen übernehmen.
Ein weiteres Werkzeug namens „ChocoShell“ soll speziell auf Zugangsdaten zu Microsoft 365 und Azure abzielen. Darüber hinaus könne es gespeicherte Browser-Passwörter und WLAN-Zugangsdaten erfassen.
Die Kontrolle infizierter Geräte erfolgt laut Bericht über ein eigenes System mit dem Namen „FruitStone“.
Auch Android-Geräte könnten betroffen sein
Im Mittelpunkt der Kampagne stehen offenbar Windows-PCs. Doch nach den vorliegenden Angaben könnten auch Android-Smartphones ins Visier geraten.
Gerade Geschäftsreisende sind dadurch besonders gefährdet. Viele nutzen unterwegs denselben Laptop oder dasselbe Smartphone sowohl für private als auch für geschäftliche Kommunikation.
Ein erfolgreicher Angriff kann dadurch weitreichende Folgen haben: von gestohlenen E-Mails und Cloud-Daten bis hin zu kompromittierten Unternehmenszugängen.
Hacker versuchen sogar Zwei-Faktor-Schutz auszuhebeln
Besonders besorgniserregend ist, dass sich die Angreifer offenbar nicht auf klassische Passwortdiebstähle beschränken.
Microsoft beobachtet auch sogenanntes Device-Code-Phishing. Dabei versuchen Täter, ein eigenes Gerät mit dem Konto des Opfers zu verbinden.
Dafür benötigt der Angreifer einen Anmelde- oder Bestätigungscode. Wird dieser vom Opfer auf einer gefälschten Seite eingegeben oder direkt weitergegeben, kann das fremde Gerät autorisiert werden.
Damit kann unter Umständen selbst eine zusätzliche Sicherheitsstufe wie die Zwei-Faktor-Authentifizierung ausgehebelt werden.
Microsoft beobachtet diese Technik nach eigenen Angaben bereits seit August 2024 bei Midnight Blizzard. Neu sei nun jedoch die Verbindung dieser Methode mit manipulierten Hotel- und Konferenz-WLANs.
Warum gerade Hotel-WLANs attraktiv für Angreifer sind
Hotels sind für Cyberkriminelle ein besonders interessantes Ziel.
Zum einen verbinden sich dort täglich zahlreiche neue Geräte mit denselben Netzwerken. Zum anderen befinden sich unter den Gästen häufig Geschäftsreisende, Führungskräfte, Politiker, Berater oder Mitarbeiter internationaler Unternehmen.
Wer es schafft, einen solchen Zugangspunkt zu manipulieren, erhält damit potenziell Zugriff auf eine große Zahl hochwertiger Ziele.
Hinzu kommt, dass Nutzer in fremden WLAN-Netzen eher bereit sind, ungewöhnliche Login-Seiten oder Sicherheitsabfragen zu akzeptieren. Eine Aufforderung wie „Bitte installieren Sie dieses Sicherheitsupdate, um das WLAN weiter nutzen zu können“ wirkt in dieser Situation für viele plausibel.
Genau diesen Vertrauensvorschuss nutzen Angreifer aus.
Microsoft rät zu mobilem Hotspot statt Hotel-WLAN
Microsoft empfiehlt Reisenden deshalb, öffentliche WLAN-Netze in Hotels und Konferenzzentren grundsätzlich als potenziell unsicher zu behandeln.
Wenn möglich, sollten Nutzer auf das Mobilfunknetz ihres Smartphones oder einen persönlichen Hotspot ausweichen.
Besonders wichtig ist eine einfache Grundregel: Updates sollten niemals über plötzlich eingeblendete Browser-Fenster installiert werden.
Echte Updates für Windows, Browser oder andere Programme werden über die integrierten Aktualisierungsfunktionen des jeweiligen Systems oder der Anwendung eingespielt.
Wer nach der Verbindung mit einem WLAN aufgefordert wird, ein Programm, Zertifikat oder angebliches Sicherheitsupdate herunterzuladen, sollte daher äußerst misstrauisch werden.
VPN hilft – aber nicht gegen jede Falle
Auch ein VPN kann den Schutz verbessern. Ein verschlüsselter VPN-Tunnel erschwert es manipulierten Netzwerken, den Datenverkehr des Nutzers einzusehen oder umzuleiten.
Allerdings weist der Bericht auf eine wichtige Einschränkung hin: Gefälschte Update-Seiten können trotzdem erscheinen. Ein VPN allein schützt also nicht davor, dass Nutzer auf eine manipulierte Aufforderung hereinfallen und selbst Schadsoftware installieren.
Entscheidend bleibt deshalb das Verhalten des Nutzers.
Passwortlose Anmeldung und Zwei-Faktor-Schutz bleiben wichtig
Für besonders wichtige Konten empfiehlt Microsoft passwortlose Anmeldeverfahren oder mindestens eine starke Zwei-Faktor-Authentifizierung.
Darüber hinaus sollten Firmen-Zugangsdaten nach Möglichkeit nicht für die Anmeldung in Hotel-WLANs verwendet werden.
Auch ein aktuelles Antivirenprogramm kann helfen, bekannte Schadsoftware zu erkennen. Einen vollständigen Schutz garantiert jedoch auch Sicherheitssoftware nicht.
Reisende werden zum Ziel geopolitischer Cyberangriffe
Die Warnung zeigt, wie stark sich Cyberangriffe inzwischen verändert haben. Statt nur große Unternehmen oder Behörden direkt anzugreifen, versuchen professionelle Gruppen zunehmend, einzelne Nutzer an verwundbaren Stellen ihrer digitalen Infrastruktur zu erreichen.
Hotel-WLANs bieten dafür ideale Bedingungen.
Für Reisende bedeutet das: Der kostenlose Internetzugang im Hotel kann bequem sein – gleichzeitig kann er aber zum Einfallstor für hochprofessionelle Angriffe werden.
Wer unterwegs sensible Daten verarbeitet, sollte deshalb möglichst auf mobile Verbindungen setzen, Updates ausschließlich über offizielle Systemfunktionen installieren und ungewöhnliche Sicherheitsaufforderungen grundsätzlich hinterfragen.
Denn im schlimmsten Fall reicht bereits ein einziger Klick auf ein vermeintliches Update, um einem Angreifer weitreichenden Zugriff auf den eigenen Computer und möglicherweise sogar auf geschäftliche Systeme zu ermöglichen.
