Microsoft Threat Intelligenceは2026年7月31日、ホテルや会議施設が提供する公衆Wi-Fiの「キャプティブポータル」(接続時の案内画面)を悪用する攻撃キャンペーン「CaptiveCrunch」を公表した。ReliaQuestが先行して観測していた攻撃基盤と符合し、米国内複数都市やインド、サウジアラビアで侵害されたゲートウェイが確認されている。金融・法務・ヘルスケアなど出張の多い業種の通信が観測されており、狙われているのは特定の企業というより「出張中のビジネスパーソン」そのものだ。
ゲートウェイを握れば全員が人質 #
手口の起点は、ホテル等が運用するキャプティブポータル機器への管理者権限での侵入だ。これらの機器は接続する全端末のDNSとルーティングを一手に担うため、乗っ取ってしまえば個々の端末を攻撃せずとも大規模な誘導が可能になる。実際の観測事例では、キーワードによる選別すら行わず全DNS応答を偽装していたという。
続く経路は二つに分岐する。一つはMicrosoftドメインを模した偽ページへのAiTM(中間者)フィッシングとデバイスコード認証フローの悪用で、利用者はリンクをクリックすることもなくサインイン画面らしきものへ誘導され、承認するだけでMFAを満たした有効なOAuthトークンを攻撃者に渡してしまう。もう一つは偽のブラウザ/OSアップデート画面によるマルウェア配布だ。
出張中こそVPNとドメイン確認を #
公衆Wi-Fi上でのDNS偽装は、端末側で8.8.8.8等の公開DNSを指定していても素通りする。空港・大学・医療機関など同種のキャプティブポータル網を運用する組織は等しく同じ攻撃面を抱えており、対策が個人の注意力に依存しがちなのが厄介だ。信頼できるVPNの併用、サインイン画面のドメインの目視確認、そして業務でのデバイスコード認証フローの原則禁止が、現時点で最も現実的な防御線になる。
COMMENTS 0
まだコメントはありません。最初のコメントを投稿しよう。