Microsoft conferma la trappola sui login dei viaggiatori
La rottura vera è che il controllo di connettività su Wi‑Fi di hotel e conferenze diventa parte del furto di identità: il dispositivo viene intercettato prima ancora che l’utente navighi in modo consapevole. In questa campagna non basta più diffidare dei link; anche una pagina Microsoft reale, usata dentro un flusso di device-code, può essere il punto in cui le credenziali di Microsoft 365 vengono sottratte.
Microsoft attribuisce ora il tampering DNS dei captive portal e il furto di credenziali via AitM a Storm-2945, sotto-gruppo di Midnight Blizzard/APT29, confermando una campagna statale già osservata su reti di hotel, conference center e altri ambienti condivisi. Le vittime includono viaggiatori di settori come financial services, legal, healthcare, energy, retail e technology; la raccolta riguarda account, session token e il comportamento di login stesso, non solo una singola rete compromessa.
Per chi protegge personale in trasferta, il rischio non resta confinato al venue: un accesso legittimo a Microsoft 365 può essere assorbito in un flusso di autenticazione che sembra normale e quindi sfuggire ai controlli anti-phishing tradizionali. La campagna sposta il problema dalla rete “sospetta” alla fiducia riposta nella schermata di accesso e nel modo in cui i dispositivi rispondono alle reti nuove.