Gli hacker dirottano il DNS degli hotel per rubare account Microsoft 365

🛡️ Executive Summary

• Gli attaccanti modificano i DNS dei gateway Wi-Fi di hotel e centri congressi per reindirizzare i viaggiatori verso falsi accessi Microsoft 365.
• La campagna usa phishing tradizionale e device code authentication, capace di ottenere token OAuth legittimi senza intercettare direttamente password o MFA.
• VPN full-tunnel, DNS cifrato, disattivazione di WPAD e limitazione del device code riducono il rischio sulle reti pubbliche compromesse.

Una campagna attiva almeno da giugno 2026 compromette i gateway Wi-Fi di hotel e centri congressi per modificare la risoluzione DNS e indirizzare gli utenti verso falsi portali di accesso Microsoft 365. Gli attacchi sono stati osservati in diverse città statunitensi, oltre che in India e Arabia Saudita, e hanno interessato organizzazioni dei settori finanziario, legale, sanitario, energetico, retail e dei servizi professionali. Il bersaglio reale non è la struttura alberghiera in sé, ma il dipendente in viaggio che collega un dispositivo aziendale a una rete apparentemente affidabile e autorizza involontariamente l’accesso dell’attaccante al proprio ambiente cloud.

Il gateway Wi-Fi diventa il punto di controllo

Il vettore iniziale utilizzato per compromettere gli apparati di rete non è stato ancora determinato. Le ipotesi comprendono interfacce amministrative esposte e protette da credenziali deboli, servizi come SSH e SNMP, pannelli web raggiungibili da Internet oppure vulnerabilità non corrette nei gateway. Una volta ottenuti i privilegi amministrativi, l’attaccante modifica i server DNS distribuiti ai dispositivi collegati attraverso DHCP. Da quel momento può alterare la risposta a una richiesta legittima e indirizzare il browser verso infrastrutture controllate, senza dover compromettere direttamente il computer della vittima. La tecnica sfrutta la fiducia riposta nell’infrastruttura locale e conferma il ruolo crescente dei dispositivi di frontiera come piattaforme intermedie per le intrusioni. La campagna LongLeash ha già mostrato come router compromessi possano nascondere e instradare attività malevole, trasformando apparati poco monitorati in punti di appoggio difficili da attribuire.

I falsi portali imitano Microsoft 365

Gli operatori hanno registrato almeno quattro domini costruiti per apparire collegati ai servizi Microsoft: m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com e ms365-live[.]com. Quando un utente collegato al Wi-Fi compromesso tenta di raggiungere un portale di autenticazione, la risposta DNS manipolata può portarlo a una pagina contraffatta. Il sito raccoglie le credenziali inserite oppure avvia un flusso più sofisticato basato sull’autenticazione tramite codice dispositivo. L’attacco risulta particolarmente efficace durante viaggi, congressi ed eventi aziendali, quando l’utente si aspetta captive portal, nuove autenticazioni, disconnessioni e richieste di conferma più frequenti del normale. L’apparente anomalia può quindi essere interpretata come un comportamento ordinario della rete dell’hotel, anziché come un segnale di compromissione.

Il device code aggira la protezione MFA

In alcuni incidenti la vittima viene indirizzata verso una pagina che chiede di inserire o approvare un codice. Dietro l’interfaccia, l’attaccante ha già avviato una richiesta di autenticazione sul proprio dispositivo. Quando l’utente completa la procedura, Microsoft emette un token OAuth legittimo destinato alla sessione controllata dall’operatore. La tecnica non richiede necessariamente di intercettare la password, rubare un cookie o superare tecnicamente il secondo fattore: è la vittima stessa ad autorizzare il client malevolo. Il meccanismo coincide con il device code phishing usato per conquistare account Microsoft 365 protetti da MFA, nel quale la validità del dominio finale e del processo Microsoft rende più difficile riconoscere l’inganno. Una volta ottenuta la sessione, gli operatori possono raggiungere email, documenti, conversazioni e informazioni aziendali accessibili al profilo compromesso.

WPAD può instradare anche il traffico delle applicazioni

In circa un terzo dei casi esaminati, gli aggressori hanno tentato di abusare anche di Web Proxy Auto-Discovery, funzione con cui Windows cerca automaticamente una configurazione proxy sulla rete locale. Rispondendo alla richiesta WPAD con un file PAC malevolo, il gateway può provare a instradare attraverso un proxy controllato dall’attaccante il traffico generato da browser e applicazioni. Non è stato confermato che questi tentativi abbiano prodotto intercettazioni riuscite, ma la presenza della tecnica amplia l’operazione oltre il semplice reindirizzamento di una pagina di login. Il rischio riguarda soprattutto ambienti nei quali WPAD rimane attivo per compatibilità e i dispositivi accettano automaticamente configurazioni distribuite da reti non attendibili.

Cambiare DNS manualmente non basta

Impostare sul dispositivo un resolver pubblico come Google 8.8.8.8 non garantisce protezione. Le normali richieste DNS sulla porta 53 vengono trasmesse in chiaro e il gateway compromesso può intercettarle o falsificarne le risposte prima che raggiungano il server scelto dall’utente. La misura più efficace consiste nell’utilizzare una VPN always-on full-tunnel, che instradi tutto il traffico attraverso un canale cifrato attivato immediatamente dopo la connessione. Anche DNS over HTTPS o DNS over TLS possono ridurre l’esposizione, purché siano configurati in modalità rigorosa e non effettuino fallback automatico verso DNS non cifrato. Le aziende dovrebbero inoltre disattivare WPAD dove non necessario, impedire modifiche non autorizzate alla configurazione di rete e applicare politiche di Conditional Access che valutino dispositivo, posizione, rischio della sessione e conformità dell’endpoint. Le campagne Jalisco e OmegaLord contro Microsoft 365 dimostrano che l’MFA tradizionale non basta quando il flusso di autorizzazione viene manipolato.

Le aziende devono controllare identità e gateway

Gli amministratori di Microsoft Entra ID dovrebbero disabilitare il device code flow quando non richiesto dai processi aziendali oppure limitarlo a gruppi, dispositivi e applicazioni specifiche. I log devono essere analizzati alla ricerca di autenticazioni provenienti da località incoerenti, client inattesi, concessioni OAuth anomale e accessi a email o file successivi a una trasferta. Sul lato alberghiero, i gateway Wi-Fi richiedono firmware aggiornato, interfacce amministrative non esposte pubblicamente, credenziali uniche e monitoraggio delle variazioni DNS. La ricostruzione della campagna contro i Wi-Fi di hotel e centri congressi evidenzia come gli attaccanti non stiano colpendo un singolo settore, ma dipendenti in viaggio ovunque trovino infrastrutture vulnerabili. La sicurezza del cloud può quindi essere compromessa senza violare direttamente Microsoft 365: è sufficiente controllare il tratto di rete dal quale l’utente avvia l’autenticazione. Per questo le reti pubbliche devono essere considerate non attendibili anche quando appartengono a strutture conosciute e protette da password.