BIST10011 220
-3,08 %
ДОЛЛАР49,60
+0,05 %
ЕВРО55,68
+0,11 %
ЗОЛОТО4 035,50
-0,61 %
ПРОЦЕНТ36,00 %
-1,00
БИТКОИН81 139
-0,22 %
23 октября 2026 г.14°
BIST10011 220
-3,08 %
ДОЛЛАР49,60
+0,05 %
ЕВРО55,68
+0,11 %
ЗОЛОТО4 035,50
-0,61 %
ПРОЦЕНТ36,00 %
-1,00
БИТКОИН81 139
-0,22 %
23 октября 2026 г.14°

Загрузка...

ReliaQuest выявила фишинг на Microsoft-аккаунты в гостиничном Wi-Fi США

ReliaQuest сообщила, что хакеры захватывают Wi-Fi шлюзы отелей и конференц-центров, перенаправляя деловых путешественников на поддельные страницы входа в Microsoft 365. Атака, продолжающаяся с июня, способна обходить даже многофакторную аутентификацию.

Scraper System02 августа 2026 г., 20:35

ReliaQuest выявила фишинг на Microsoft-аккаунты в гостиничном Wi-Fi США

Компания по кибербезопасности ReliaQuest обнаружила изощрённую фишинговую кампанию, нацеленную на Wi-Fi сети отелей и конференц-центров во многих городах США. Злоумышленники, получив административный доступ к шлюзам, перенаправляли деловых путешественников на поддельные страницы входа в Microsoft 365. Установлено, что кампания активна как минимум с июня.

Меняются DNS-настройки

Хакеры, захватив Wi-Fi шлюзы, изменяют DNS-настройки. Когда пользователи пытаются получить доступ к легитимной странице входа Microsoft, их браузеры перенаправляются на поддельный сайт, контролируемый злоумышленниками. Поскольку устройство кажется нормально подключённым и другие веб-сайты открываются без проблем, атаку становится очень трудно заметить.

Поддельные домены со словами Microsoft

По данным ReliaQuest, злоумышленники зарегистрировали как минимум четыре поддельных домена, содержащих термины Microsoft: m365-owa[. ]com, owa-ms365[. ]com, ms365-device[. ]com и ms365-live[. ]com. Эти фальшивые страницы собирают адреса электронной почты и пароли пользователей. Захваченные учётные записи могут предоставить полный доступ к корпоративной электронной почте, документам и облачным сервисам.

Обход многофакторной аутентификации

Наиболее примечательная особенность атаки — способность обходить многофакторную аутентификацию (MFA). В некоторых случаях злоумышленники использовали более сложный процесс аутентификации по коду устройства. Пользователь сталкивается с запросом на разрешение на поддельной странице. В фоновом режиме хакер уже инициировал сеанс. Когда пользователь подтверждает запрос, Microsoft выдаёт действительный токен OAuth клиенту злоумышленника. Этот метод может нейтрализовать MFA, поскольку подтверждение выполняется самим пользователем.

Попытки злоупотребления WPAD

ReliaQuest также сообщила, что примерно в трети случаев злоумышленники пытались использовать протокол автоматического обнаружения веб-прокси (WPAD). Протокол WPAD, который Windows использует для автоматического поиска настроек прокси-сервера, пытались эксплуатировать, отвечая вредоносным файлом конфигурации прокси. Были ли эти попытки успешными, пока не подтверждено.

Рекомендации экспертов по безопасности

Эксперты рекомендуют соблюдать следующие меры предосторожности, особенно при использовании Wi-Fi в отелях и на конференциях:

Используйте полнотуннельный VPN: VPN, шифрующий весь интернет-трафик, предотвращает перехват ваших данных.
Предпочитайте мобильную точку доступа: Для конфиденциальных операций используйте собственные мобильные данные вместо гостиничной сети.
Проверяйте адреса входа: Перед вводом пароля тщательно проверяйте доменное имя в адресной строке браузера. Используйте сохранённую закладку для входа на корпоративный портал.
Остерегайтесь запросов кода устройства: С подозрением относитесь к запросам на подтверждение кода с незнакомого устройства. При неожиданном запросе обратитесь в ИТ-отдел.
Обновляйте устройства: Перед поездкой убедитесь, что операционная система, браузер и антивирусное ПО обновлены.
Используйте надёжное защитное ПО: Антивирусные программы могут помочь в обнаружении фишинговых страниц.

ReliaQuest также рекомендует компаниям отключать аутентификацию по коду устройства в Microsoft Entra ID, если она не нужна, и регулярно проверять журналы входа на предмет аномальной активности.