Microsoft avverte i viaggiatori: le reti Wi-Fi degli hotel sono sotto attacco
Il rischio compare subito dopo il collegamento al Wi-Fi dell’hotel: una finestra contraffatta può sottrarre password, cookie e token anche senza rubare direttamente la password
- Microsoft segnala una campagna che colpisce i Wi‑Fi degli hotel, trasformando i captive portal in un varco per intercettare traffico e credenziali.
- Il malware sfrutta finti aggiornamenti del browser per registrare tasti, attivare webcam e microfono e compromettere gli account aziendali dei viaggiatori.
- L'operazione viene attribuita a Storm-2945, collegato a Midnight Blizzard, mentre la difesa passa da VPN sempre attiva e massima diffidenza verso finestre sospette.
Il periodo è quello giusto: finalmente si è in vacanza, nella propria camera d’hotel. Connettersi al wi-fi però è inevitabile: anche i più volenterosi, armati di buone intenzioni, sanno che spesso un detox digitale completo è impossibile. Così, eccoci: la pagina di accesso chiede il numero della camera.
Poi però si apre una finestra che segnala un aggiornamento del browser. Una richiesta che sembra ordinaria, di quelle che si accettano senza rifletterci mentre si attende di poter inviare quel messaggino su Whatsapp. Peccato che in una campagna di cyberspionaggio ricostruita da Microsoft Threat Intelligence, quella stessa finestra apre la strada a un malware che registra i tasti premuti, accende webcam e microfono e consegna agli attaccanti l’account aziendale.
WiFi e campagne malevole
La campagna si chiama CaptiveCrunch e Microsoft la osserva dai primi giorni di maggio 2026. Il bersaglio sono le apparecchiature che gestiscono i captive portal, cioè le pagine di benvenuto delle reti Wi-Fi di hotel, centri congressi e altri spazi condivisi.
Una volta ottenuto il controllo di quei dispositivi, gli attaccanti si posizionano in mezzo al traffico degli ospiti e alterano le risposte DNS e le connessioni HTTP prima che raggiungano computer e smartphone. Il punto che rende la tecnica insidiosa riguarda il comportamento dell’utente: chi si collega si limita a fare quello che farebbe in qualsiasi albergo del mondo: apre il portale, accetta le condizioni, naviga.
Nessuna mail sospetta da aprire, nessun link da cliccare. Il gateway a cui il dispositivo affida la risoluzione dei nomi di dominio è già stato manomesso, quindi anche la digitazione manuale di un indirizzo legittimo può finire su un server controllato dagli attaccanti. Piccola precisazione: in questo caso specifico, il profilo del bersaglio è uno solo: il dipendente o il dirigente in trasferta.
Un’attribuzione che resta aperta
Microsoft assegna la campagna a Storm-2945, sottogruppo operativo di Midnight Blizzard, l’attore che Stati Uniti e Regno Unito riconducono al servizio d’intelligence estero russo SVR e che la comunità della sicurezza conosce anche come APT29 o Cozy Bear.
La stessa struttura, secondo l’azienda, conduce da febbraio 2026 operazioni assistite dall’intelligenza artificiale contro utenze Microsoft 365. Resta però ignoto il modo in cui i captive portal sono stati violati la prima volta: l’azienda segnala apparecchiature e sistemi di gestione ricorrenti fra le reti colpite, un indizio che punta verso servizi condivisi dell’ecosistema più che verso intrusioni separate struttura per struttura.
Cosa fare prima di collegarsi?
Di fatto, aggiornamenti, certificati e strumenti di sicurezza proposti da una finestra che compare durante l’accesso al Wi-Fi vanno ignorati: nessun operatore serio distribuisce software in quel modo. Un rimedio efficace resta invece l’uso di una VPN sempre attivo.
FAQ
Perché alcuni attaccanti controllano i captive portal e possono intercettare traffico, DNS e connessioni. Così l'utente pensa di collegarsi normalmente, ma finisce su server malevoli.
È una campagna osservata da Microsoft contro le reti Wi‑Fi di hotel e spazi condivisi. Sfrutta finestre di accesso e finti aggiornamenti del browser per distribuire malware.
Può registrare i tasti premuti, attivare webcam e microfono e sottrarre credenziali, fino ad arrivare all'account aziendale del viaggiatore collegato alla rete compromessa.
Microsoft attribuisce la campagna a Storm-2945, un gruppo collegato a Midnight Blizzard, noto anche come APT29 o Cozy Bear e associato all'intelligence estera russa SVR.
Conviene ignorare finestre che chiedono aggiornamenti o certificati durante l'accesso e tenere sempre attiva una VPN. Meglio evitare operazioni sensibili su reti non fidate.
