Uma nova campanha de cibercrime utiliza redes Wi-Fi públicas de hotéis e centros de conferências para sequestrar contas do Microsoft 365 utilizadas por funcionários corporativos em viagens a negócios. A operação compromete a infraestrutura de rede de estabelecimentos e redireciona os usuários para páginas falsas de autenticação, o que permite aos invasores capturar senhas e tokens de acesso sem a necessidade de enviar e-mails fraudulentos ou alterar os dispositivos atingidos.O alerta foi divulgado por pesquisadores da empresa de cibersegurança ReliaQuest. De acordo com o relatório técnico, a ação opera desde pelo menos junho de 2026 e afetou dispositivos com portal cativo em diversas cidades dos Estados Unidos, da Índia e da Arábia Saudita. As conexões interceptadas envolveram trabalhadores de diversos setores, como serviços financeiros, jurídicos, de saúde, energia, varejo e serviços profissionais.A tática apoia-se no comprometimento dos gateways: os equipamentos de rede que gerenciam o portal de acesso e distribuem a conexão aos hóspedes. Ao obter acesso administrativo desses aparelhos, os cibercriminosos aplicam a técnica de envenenamento de DNS. Assim, quando o usuário tenta acessar uma página legítima, o sistema adulterado fornece um endereço falso e direciona o navegador para domínios sob o controle dos invasores, criados para simular a interface oficial do Microsoft 365.“A invasão de um único dispositivo permite ao atacante redirecionar o tráfego de todos os convidados que acessam a rede naquele dia, sem precisar tocar em nenhum endpoint”, destacaram os pesquisadores Alexander Capraro, Jalen Vaughn, Daxton Wirth, Austin Ritchie e Connor Short, no relatório da ReliaQuest.A investigação aponta que a investida consegue burlar, até mesmo, camadas de autenticação multifator (MFA). Em parte dos casos, os criminosos abusaram do fluxo de autenticação por código de dispositivo da Microsoft e induziram a vítima a aprovar a solicitação, assim emitindo tokens de acesso válidos diretamente para o invasor.Fluxo de ataque (Reprodução/ReliaQuest)A equipe da ReliaQuest destacou que a tática guarda semelhanças com técnicas atribuídas ao grupo russo APT28 (Fancy Bear/Forest Blizzard), porém ressaltou que não há vínculos técnicos diretos, como infraestrutura compartilhada ou reuso de código, que confirmem a autoria.Para conter a ameaça, os analistas recomendam que as organizações imponham o uso de rede virtual privada (VPN) de túnel completo e sempre ativa nos aparelhos corporativos.“Exigir que todos os dispositivos corporativos utilizem uma VPN sempre ativa com configuração de túnel completo garante que todas as solicitações de DNS sejam roteadas por meio de resolvedores corporativos confiáveis, mitigando o vetor de ataque”, reforçaram.Os especialistas da ReliaQuest orientam ainda que as empresas desativem o recurso de Descoberta Automática de Proxy Web (WPAD) no Windows e instruam os funcionários a verificar rigorosamente os endereços web antes de inserir credenciais em redes públicas.Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.