Latest & Breaking News on Fox News.
Uma nova campanha de phishing está explorando redes Wi-Fi de hotéis e centros de convenções para redirecionar viajantes a páginas falsas de login do Microsoft 365. A prática, identificada pela empresa de segurança cibernética ReliaQuest, representa um risco particular para profissionais em viagem de negócios, que podem se conectar à internet do local e, sem perceber, serem levados a sites controlados por criminosos.
De acordo com a ReliaQuest, a operação está ativa desde pelo menos junho. Os pesquisadores encontraram gateways de Wi-Fi comprometidos em várias cidades dos Estados Unidos. Organizações dos setores financeiro, de serviços profissionais, jurídico, de saúde, energia e varejo se conectaram por meio dos equipamentos afetados. A variedade de segmentos sugere que os hackers podem estar mirando funcionários em trânsito, em vez de um setor específico.
O ataque funciona a partir da alteração das configurações de DNS (Domain Name System) dos gateways de Wi-Fi. Esses equipamentos controlam como os dispositivos conectados acessam a internet. Ao obter acesso administrativo, os criminosos modificam o DNS, que funciona como uma agenda de endereços da rede, traduzindo nomes de sites em endereços numéricos. Quando a vítima tenta abrir uma página legítima de login da Microsoft, o gateway comprometido pode direcionar o navegador para um site falso. O dispositivo continua aparentando estar conectado normalmente, com o nome do hotel visível nas configurações de Wi-Fi e outros sites carregando sem problemas, o que dificulta a percepção do golpe antes do envio de informações sensíveis.
A ReliaQuest ainda não confirmou como os invasores conseguiram acesso inicial aos equipamentos. No entanto, os pesquisadores apontam possíveis vetores de entrada: alguns gateways podem expor ferramentas administrativas diretamente à internet, permitindo que hackers explorem senhas fracas, painéis vulneráveis ou serviços de gerenciamento remoto mal protegidos. Equipamentos mais antigos também podem rodar software com falhas de segurança conhecidas, exploráveis caso o hotel ou o local do evento atrase atualizações. Uma vez dentro, o invasor altera a configuração de DNS sem precisar tocar nos dispositivos dos hóspedes, afetando potencialmente todos que se conectam durante um evento.
Para as páginas falsas, os criminosos registraram ao menos quatro domínios que imitam o portal da Microsoft: m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com e ms365-live[.]com. Os endereços contêm termos familiares, como “Microsoft”, “365” e “OWA”, o que pode fazer com que um viajante apressado não perceba a anomalia. A página falsa coleta endereços de e-mail e senhas do Microsoft 365, expondo potencialmente e-mails corporativos, documentos privados e serviços em nuvem da empresa. Com a conta roubada, os hackers podem se passar pelo funcionário, abrindo caminho para fraudes de pagamento, phishing interno e ataques contra colegas e clientes.
Em alguns incidentes, os pesquisadores observaram uma técnica ainda mais enganosa, envolvendo o fluxo de autenticação por código de dispositivo. A vítima acessava uma página falsa da Microsoft que exibia um prompt de autorização, aparentando ser parte do processo legítimo de login. Nos bastidores, porém, o invasor já havia iniciado uma sessão de autenticação. Quando o usuário aprovava a solicitação, a Microsoft emitia um token OAuth válido para o cliente do atacante, concedendo acesso à conta sem que o hacker precisasse roubar a senha ou interceptar um código de uso único. Essa abordagem pode contornar a autenticação multifator, pois é o próprio usuário que conclui a aprovação. Um prompt de login que solicite a aprovação de um dispositivo inesperado deve ser tratado com desconfiança, e a recomendação é verificar a solicitação com o departamento de TI da empresa antes de continuar.
Além disso, em cerca de um terço dos casos, os invasores tentaram abusar do WPAD (Web Proxy Auto-Discovery), um recurso do Windows que localiza automaticamente configurações de proxy. Os criminosos responderam a essas solicitações com um arquivo malicioso de configuração automática de proxy, que, em tese, poderia direcionar o tráfego de aplicativos Windows através de um servidor controlado por eles. A ReliaQuest não confirmou se essas tentativas tiveram sucesso, mas o fato indica que os atacantes podem estar buscando mais do que apenas credenciais de login da Microsoft.
Uma medida que pode parecer óbvia, mas não é suficiente, é trocar o dispositivo para um serviço público de DNS, como o 8.8.8.8 do Google. Segundo a ReliaQuest, essa ação sozinha não bloqueia a campanha, porque as consultas DNS tradicionais trafegam em texto puro pela rede, permitindo que o gateway comprometido forje a resposta antes que ela chegue ao resolvedor público. O DNS criptografado oferece proteção mais forte, pois impede que o gateway local leia ou altere as solicitações, mas é necessário configurá-lo em modo estrito para que o dispositivo não volte silenciosamente para uma conexão não criptografada.
Para se proteger, a recomendação é tratar qualquer rede Wi-Fi pública como não confiável. O uso de uma VPN full-tunnel, que criptografa todo o tráfego e o envia por um servidor confiável, é uma das principais defesas, devendo ser ativada antes de acessar e-mail, contas financeiras ou qualquer serviço sensível. Alternativamente, o hotspot do celular pode ser usado para evitar o gateway do hotel, especialmente para tarefas rápidas, observando o consumo de dados. Antes de inserir qualquer senha, é essencial verificar o endereço completo da página, desconfiando de domínios que contenham “Microsoft”, “365” ou “OWA”, e usar favoritos salvos ou o aplicativo oficial para acessar o portal da empresa. Solicitações de código de dispositivo que não foram iniciadas pelo usuário devem ser recusadas e verificadas com o suporte de TI. Manter sistemas operacionais, navegadores e softwares de segurança atualizados também ajuda a fechar brechas exploradas em ataques desse tipo. Por fim, a ReliaQuest sugere que as empresas revisem as configurações do Microsoft Entra ID, desabilitando a autenticação por código de dispositivo quando não for necessária, monitorem logs de login em busca de atividades suspeitas e desativem o WPAD em sistemas que não o utilizam, investigando qualquer atividade incomum de configuração de proxy.
A campanha evidencia como uma rede de hotel pode parecer perfeitamente normal enquanto direciona o usuário para uma página falsa de login. O nome da rede corresponde ao estabelecimento e a página de login parece legítima, dificultando a detecção. O principal sinal de alerta pode ser uma solicitação inesperada para inserir a senha do trabalho ou aprovar um novo dispositivo. A orientação é desacelerar antes de fazer login, especialmente em ambientes de conferência, usar uma VPN full-tunnel sempre que possível, recorrer ao hotspot do celular para tarefas sensíveis e nunca aprovar uma solicitação de autenticação da Microsoft que não foi iniciada pelo próprio usuário. Em caso de dúvida, o contato com o departamento de TI da empresa deve ser feito por um canal confiável.
Leia mais aqui em inglês: https://www.foxnews.com/tech/hotel-wi-fi-phishing-attack-targets-microsoft-logins.
Fonte: Fox News.
Latest & Breaking News on Fox News.
2026-08-02 08:41:00
