ROSTOCK / LONDON (IT BOLTWISE) – Angreifer nutzen kompromittierte Hotel-WLANs, um Microsoft-365-Konten von Geschäftsreisenden trotz 2FA zu erreichen. Laut Beobachtungen von Sicherheitsteams greifen sie dabei häufig zu Captive-Portalen und DNS-Manipulation statt klassischem Phishing. Verstärkt wird das Risiko zusätzlich durch Schwachstellen in Router-Software wie OpenWrt. Parallel zeigen Vorfälle wie ein WhatsApp-„Ghost Pairing“, dass auch nicht-staatliche Akteure Router-Einstellungen missbrauchen können.
Hotel-WLAN als Angriffskanal: APT28 und Router-Lücken treffen Microsoft-365-Konten (Foto: IT BOLTWISE)
🧠 KI & Robotik auf Google News abonnieren
Hotel-WLANs sind für viele Geschäftsreisende vor allem eins: praktisch. Genau diese Alltagsbequemlichkeit wird laut Sicherheitsberichten zunehmend zum Hebel für Angriffe. Im Zentrum stehen nicht etwa kompromittierte Endgeräte, sondern der Weg, wie sich Nutzer überhaupt ins Netz einloggen: Captive Portals, die Anmeldeseiten öffentlicher Netzwerke bereitstellen, sowie DNS-Manipulation, die den Zielverkehr umleitet. Das Muster ist dabei immer wieder ähnlich: Wer im Hotelnetz die Kontrolle über die „Zwischenstationen“ gewinnt, kann Anmeldeprozesse so ausspielen, dass sie für den Benutzer wie ein legitimer Login wirken.
Für die Kampagnen wird die Gruppe APT28 dem russischen Militärgeheimdienst zugeschrieben. In den beschriebenen Vorgehensweisen kommt es auf die Kombi aus kompromittierten WLAN-Gateways und täuschend echten Login-Masken an. Besonders problematisch: Die Angriffe zielen auf Microsoft-365-Zugangsdaten ab und umgehen dabei klassische Annahmen, nach denen Zwei-Faktor-Authentifizierung (2FA) automatisch vor Kontoübernahmen schützt. Wenn ein Angreifer den Anmeldeablauf so kontrolliert, dass Benutzer ihre Credentials in eine betrieblich passende, aber fremde Oberfläche eingeben, wird 2FA zwar ausgelöst – der Angreifer kann den Fluss jedoch so steuern, dass der Effekt trotzdem zur Übernahme führt.
Technisch verschärft wird das Risiko durch Schwachstellen in der Router-Software, weil viele Hotelnetzwerke auf Geräten mit derselben Basis-Software oder ähnlichen Konfigurationen laufen. Ende Juli wird in diesem Zusammenhang ein kritischer Patch für OpenWrt genannt: Die Lücke mit der Kennung CVE-2026-53921 erlaubt Remote-Code-Ausführung mit Root-Rechten über den Dienst odhcpd. Die Relevanz liegt weniger im Einzelfall als im Zeitmuster: Laut den Berichten werden solche Schwachstellen bereits seit Mitte 2023 ausgenutzt, um Hotel-Router zu übernehmen. Für die Praxis heißt das, dass ein „einmal durchgepatchtes“ Gateway nicht reicht, wenn Update-Zyklen, Konfigurationskontrolle und der Austausch von kompromittierten Geräten nicht lückenlos zusammenlaufen.
Dass nicht nur staatliche Akteure in Hotelumgebungen aktiv sind, zeigt ein konkretes Beispiel aus Rostock. Dort verlor ein 65-Jähriger 3.150 Euro über „Ghost Pairing“ bei WhatsApp. Die Täter sollen Router-Einstellungen manipuliert haben, um einen Code-Mechanismus zu kompromittieren und die Zwei-Faktor-Authentifizierung zu umgehen. Auch wenn solche Vorfälle auf den ersten Blick wie WhatsApp-spezifische Logik wirken, trifft das dahinterliegende Problem die gleiche Schnittstelle wie bei Microsoft: Kontrolle über die Netzumgebung kann Kommunikations- und Verifikationswege so beeinflussen, dass selbst zusätzliche Sicherheitsstufen nicht mehr zuverlässig schützen.
Parallel wird in den Berichten beschrieben, dass Kriminelle verstärkt „Evil Twin“-Netzwerke einsetzen. Dabei imitieren sie legitime WLANs durch identische Namen. Sobald sich Gäste verbinden, laufen Daten über manipulierte Portale, die wiederum als Brücke für weitere Schritte dienen. Auffällig ist außerdem, dass die Fallzahlen zunehmen: In den Niederlanden soll sich die Zahl der Account-Übernahmen nahezu verdreifacht haben. Auf Betriebsebene bedeutet das, dass die Bedrohung nicht nur in einzelnen Zielaktionen liegt, sondern als wiederkehrendes Organisationsmuster auftreten kann – mit der Folge, dass auch Unternehmen mit „solider Basis-Hygiene“ in Urlaubs- oder Geschäftsreise-Phasen neue Risikooberflächen eröffnen.
Das zweite Standbein der Angriffe ist die Schadsoftware, die den Kompromittierungsversuch in den Gerätemodus übersetzt. Genannt werden ein Android-Trojaner „Flying Eagle“, der sich als Behörden-App tarnt, sowie „SparkCat“, der gezielt Fotogalerien nach Krypto-Seed-Phrasen durchsucht. Für IT-Leitungen und Sicherheitsverantwortliche ist das wichtig, weil es zeigt, wie schnell aus einem Netz-basierten Initialangriff ein Geräte- und Datenexfiltrationsszenario wird. Gerade in Kombination mit Social Engineering sind solche Apps mehr als „nur“ Malware: Sie nutzen die Tatsache, dass Nutzer in Hotelumgebungen oft weniger skeptisch sind und Sicherheitsmechanismen wie App-Berechtigungen oder Bildschirmfreigaben weniger konsequent prüfen.
Für Geschäftsreisende verschiebt sich die Empfehlung daher weg vom reinen Kontopasswort und hin zu einem mehrschichtigen Schutz. Wo möglich, sollten mobile Daten dem Hotel-WLAN vorgezogen werden. Wenn ein öffentliches Netz unvermeidbar ist, kann ein Full-Tunnel-VPN den Datenverkehr des Geräts über einen zusätzlichen Tunnel absichern und so das Risiko von Manipulationen im lokalen Pfad reduzieren. Ebenso wird betont, dass Reisende die URLs der Login-Seiten im Blick behalten müssen und sensible Transaktionen in Hotel-Netzen meiden sollten. Auf Kontoseite rücken Passkeys und FIDO2-Sicherheitsschlüssel als weniger phishinganfällige Alternativen in den Fokus: Sie sind an die echte Dienst-URL gebunden und sollen gefälschten Seiten die Anmeldung verwehren. Ergänzend bleibt eine präzise Gerätehygiene entscheidend, also aktuelle Betriebssystem- und App-Updates, restriktive Berechtigungen und die Vermeidung von „Behörden“- oder „Sicherheits“-Apps aus inoffiziellen Quellen.
Für Unternehmen wirkt das Geschehen wie ein Warnsignal, die Sicherheitsstrategie nicht nur im Rechenzentrum, sondern auch an der Reise-Schnittstelle zu denken. Das betrifft sowohl Identity-Controls als auch das Verständnis, wie Router- und Captive-Portal-Umgebungen Verifikationsflüsse beeinflussen können. Wer Mitarbeitende mit starkem MFA ausstattet, sollte zusätzlich prüfen, wie diese Verfahren in realen, potenziell manipulierten Netzpfaden funktionieren – und ob es klare Leitlinien für Reisen gibt, inklusive konkreter Hinweise zu VPN-Nutzung und URL-Prüfung. Neben den technischen Maßnahmen bleibt dabei die operative Frage: Wie schnell können Updates und harte Regeln beim Nutzer ankommen, wenn ein Hotelnetzwerk einmal mehr ein „Angriffskanal“ wird statt nur ein Komfortfeature.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»
Ergänzungen und Infos bitte an die Redaktion per eMail an de-info[at]it-boltwise.de. Da wir bei KI-erzeugten News und Inhalten selten auftretende KI-Halluzinationen nicht ausschließen können, bitten wir Sie bei Falschangaben und Fehlinformationen uns via eMail zu kontaktieren und zu informieren. Bitte vergessen Sie nicht in der eMail die Artikel-Headline zu nennen: „Hotel-WLAN als Angriffskanal: APT28 und Router-Lücken treffen Microsoft-365-Konten“.