Uma campanha de cibercrime vem usando redes Wi‑Fi públicas de hotéis e centros de convenções para interceptar credenciais de contas Microsoft 365 de funcionários em viagens de trabalho. Segundo relatório da empresa de segurança ReliaQuest, os atacantes comprometem a infraestrutura de rede desses locais e redirecionam usuários para páginas falsas de autenticação, capturando senhas e tokens sem recorrer a e-mails de phishing ou a invasão dos dispositivos das vítimas.
O que aconteceu, quando e onde
De acordo com a ReliaQuest, a operação foi observada desde pelo menos junho de 2026 e atingiu dispositivos que dependem de portal cativo em estabelecimentos de cidades nos Estados Unidos, Índia e Arábia Saudita. Entre os usuários afetados estão profissionais de setores como serviços financeiros, jurídico, saúde, energia, varejo e serviços profissionais.
Como o ataque funciona
Os invasores obtêm acesso administrativo aos gateways que controlam o portal de acesso dos hóspedes. Com esse controle, aplicam envenenamento de DNS para substituir endereços legítimos por domínios sob seu comando. Quando um usuário tenta acessar serviços oficiais, o portal adulterado envia o navegador para páginas que imitam a interface do Microsoft 365, permitindo a captura de credenciais e tokens.
Os pesquisadores alertam que a exploração não requer comprometer um endpoint específico: controlar um único dispositivo de rede possibilita redirecionar o tráfego de todos os convidados conectados àquela rede no mesmo dia, sem tocar nos aparelhos dos usuários, segundo os autores do estudo — Alexander Capraro, Jalen Vaughn, Daxton Wirth, Austin Ritchie e Connor Short.
Burlar autenticação multifator
A investigação indica ainda que os criminosos conseguiram contornar camadas de autenticação multifator (MFA) em alguns incidentes. Em parte dos casos, os atacantes abusaram do fluxo de autenticação por código de dispositivo da Microsoft e induziram usuários a aprovar solicitações, resultando na emissão de tokens válidos diretamente para os invasores.
Sem confirmação de autoria e recomendações
A ReliaQuest observa semelhanças entre essa tática e técnicas atribuídas ao grupo russo APT28 (Fancy Bear/Forest Blizzard), mas ressalta que não há evidência técnica direta — como infraestrutura compartilhada ou reuso de código — que confirme a responsabilidade do grupo.
Imagem: Divulgação
Para mitigar o risco, os analistas recomendam que organizações exijam o uso de VPN corporativa sempre ativa com túnel completo nos dispositivos, o que força o encaminhamento de requisições DNS a resolvedores confiáveis da empresa. Também orientam desativar o recurso Windows WPAD (Descoberta Automática de Proxy Web) e instruir funcionários a checar cuidadosamente endereços web antes de inserir credenciais em redes públicas.
As medidas visam reduzir a capacidade dos invasores de redirecionar tráfego e capturar dados de autenticação em ambientes de Wi‑Fi compartilhado.
Com informações de Tecmundo
Gudyê GR6 é editor-chefe e especialista em tendências musicais e entretenimento na GR6, a maior produtora de funk do Brasil. Com anos de experiência no mercado fonográfico, Gudyê lidera a equipe de conteúdo trazendo as últimas notícias sobre música, cultura urbana. Autor do Post: Gudyê GR6
