Portales Wi-Fi comprometidos redirigen viajeros a sitios falsos de Microsoft 365

Una campaña compromete gateways Wi-Fi de hoteles y centros de convenciones, altera su DNS y redirige a empleados viajeros hacia páginas falsas para robar credenciales de Microsoft 365.

Qué ocurrió

ReliaQuest detectó gateways de redes Wi-Fi públicas comprometidos en Estados Unidos, India y Arabia Saudita. Los atacantes modificaron la configuración DNS de equipos que operan portales cautivos para enviar a los usuarios a infraestructura controlada por ellos.

Las víctimas reciben páginas que imitan servicios de Microsoft y buscan capturar credenciales corporativas de Microsoft 365 mediante una posición de adversario en el medio.

Impacto y contexto

La campaña no se limita a una industria: se observó tráfico de organizaciones financieras, legales, sanitarias, energéticas, minoristas y de servicios profesionales. Hoteles, aeropuertos, universidades y centros de eventos comparten esta superficie de ataque.

La técnica aprovecha la confianza del usuario en el portal Wi-Fi del establecimiento.
La infraestructura observada reutiliza tácticas asociadas con FrostArmada, pero no permite atribuir la campaña a APT28.
El DNS manipulado puede afectar a todos los usuarios conectados al gateway comprometido.

Recomendaciones

Usar una VPN corporativa confiable al conectarse a redes públicas.
Aplicar MFA resistente al phishing, preferiblemente FIDO2 o passkeys.
Evitar autenticar cuentas corporativas desde portales o enlaces inesperados.
Actualizar gateways Wi-Fi y auditar cambios no autorizados en DNS y firmware.

Transparencia editorial

Fuentes y referencias

Esta publicación es una síntesis original. Consulte las fuentes primarias para información técnica completa y actualizaciones.

1
SecurityWeek ↗
prensa especializada
2
ReliaQuest ↗
oficial

¿Esta amenaza puede afectar a su empresa?

ENERIT puede ayudarle a evaluar exposición, priorizar remediaciones y fortalecer su operación de ciberseguridad.

Hablar con un especialista