Redes Wi-Fi de Hotéis Viram Campo Minado para Contas Corporativas: Criminosos Capturam Senhas e Tokens de Autenticação

Ataques em Redes Wi-Fi Públicas: Uma Nova Ameaça à Segurança Corporativa

Pesquisadores de segurança cibernética alertam para uma nova e sofisticada campanha de ataques que utiliza redes Wi-Fi públicas, como as encontradas em hotéis e centros de convenções, para roubar credenciais de usuários do Microsoft 365. Essa estratégia é particularmente preocupante para empresas, pois visa profissionais que viajam a trabalho e dependem dessas conexões para acessar informações corporativas essenciais, como e-mails, arquivos e sistemas internos.

A empresa de cibersegurança ReliaQuest divulgou o alerta, indicando que ataques ativos ocorrem desde, pelo menos, junho de 2026. A nova tática se diferencia de golpes tradicionais por não depender de e-mails de phishing ou da instalação de softwares maliciosos nos dispositivos das vítimas. Em vez disso, os criminosos comprometem a infraestrutura da rede para redirecionar usuários a páginas de login falsas, capturando senhas e até tokens de autenticação.

Essa abordagem representa um risco significativo, pois um único comprometimento na rede pode afetar dezenas ou centenas de usuários simultaneamente, sem que estes percebam qualquer alteração em seus dispositivos. A confiança no ambiente aparentemente seguro da rede pública é explorada para enganar os usuários.

Conforme informação divulgada pela ReliaQuest, a investigação revelou que os criminosos conseguem obter acesso administrativo aos equipamentos que gerenciam a distribuição da internet nos estabelecimentos. Utilizando uma técnica conhecida como envenenamento de DNS, eles redirecionam os usuários que tentam acessar serviços legítimos, como o portal do Microsoft 365, para páginas idênticas às originais, mas controladas por eles.

Como Funciona o Golpe em Redes Wi-Fi Modificadas

O ataque se inicia com a invasão da infraestrutura de rede do local, permitindo que os criminosos obtenham controle sobre os gateways de internet. Uma vez com o acesso administrativo, eles aplicam o envenenamento de DNS. Isso faz com que, ao tentar acessar um site legítimo, o navegador do usuário seja direcionado para uma página falsa, criada para se parecer exatamente com a original.

Sem desconfiar da fraude, a vítima insere suas credenciais, como nome de usuário e senha, que são instantaneamente capturadas pelos atacantes. Essa técnica é especialmente eficaz em ambientes onde a conveniência da conexão pública é priorizada.

Ameaça que Contorna a Autenticação de Dois Fatores

Um dos aspectos mais alarmantes dessa campanha é a capacidade dos criminosos de contornar mecanismos de autenticação multifator (MFA), que são considerados uma das defesas mais robustas contra invasões. Em alguns casos analisados, os atacantes exploraram o fluxo de autenticação conhecido como Device Code Flow, utilizado pela Microsoft para autenticar dispositivos.

Nesse cenário, a vítima é levada a aprovar uma solicitação de autenticação que parece legítima. Após essa aprovação, um token de acesso válido é gerado e, inadvertidamente, entregue aos invasores. Isso significa que mesmo usuários que utilizam autenticação em duas etapas podem ter suas contas comprometidas se forem enganados a aprovar uma solicitação fraudulenta.

Quem São os Alvos e Quais Setores São Afetados

A ReliaQuest identificou vítimas em diversos países, incluindo Estados Unidos, Reino Unido, Alemanha, França, Espanha, Itália, Canadá, Austrália, Japão e Singapura. Os setores mais atingidos incluem tecnologia, serviços financeiros, consultoria, saúde e varejo. O perfil predominante das vítimas são profissionais que realizam viagens corporativas e utilizam redes públicas para acessar sistemas internos de suas empresas.

A campanha exibe semelhanças com técnicas atribuídas ao grupo russo APT28, também conhecido como Fancy Bear ou Forest Blizzard, embora a ReliaQuest ressalte a ausência de evidências técnicas conclusivas para uma atribuição direta.

Recomendações para Empresas e Usuários

Para mitigar esses riscos, especialistas recomendam que as organizações reforcem suas políticas de segurança para colaboradores em trabalho remoto ou que viajam frequentemente. A utilização de uma VPN (Virtual Private Network) configurada corretamente é essencial, pois ela criptografa todo o tráfego de internet, dificultando a manipulação de DNS em redes públicas.

Para usuários comuns que utilizam Wi-Fi em hotéis e aeroportos, algumas práticas de segurança são cruciais. É fundamental verificar sempre o endereço do site (URL) antes de inserir login e senha, desconfiar de solicitações inesperadas de autenticação em duas etapas e, sempre que possível, evitar acessar sistemas sensíveis em redes públicas, optando por redes móveis ou conexões de confiança.

Manter os dispositivos sempre atualizados com os últimos patches de segurança também é uma medida importante para corrigir vulnerabilidades. Adicionalmente, a ReliaQuest sugere que empresas desativem o recurso WPAD (Web Proxy Auto-Discovery Protocol) em computadores Windows, pois ele pode ser explorado em ataques em redes comprometidas. Treinamentos periódicos para conscientizar os colaboradores sobre os riscos em redes Wi-Fi públicas são igualmente importantes.

O aumento do trabalho remoto e das viagens corporativas tem tornado as redes públicas alvos cada vez mais atrativos para cibercriminosos. A estratégia de comprometer a infraestrutura da rede, em vez de dispositivos individuais, amplia significativamente o alcance e o impacto dos ataques, exigindo atenção redobrada de empresas e usuários, especialmente ao lidar com informações corporativas sensíveis fora do ambiente de trabalho.