Auf den Punkt: Angreifer kompromittieren WLAN-Gateways an Reisenetzwerken, um via DNS-Umleitung Microsoft-365-Konten zu stehlen – eine Angriffsfläche unterhalb der Endpoint-Sichtbarkeit mit Potenzial für Konten-Kaskaden in Unternehmensnetzen.
Seit mindestens Juni kapern Bedrohungsakteure WLAN-Gateways und Portal-Appliances in Hotels und Konferenzzentren, um Microsoft-365-Konten reisender Unternehmensangestellter zu hijacken. Das Risiko liegt dabei auf Netzwerk-Ebene unterhalb der typischen Vertrauensannahmen von Geräten und ist für einzelne Konten existenziell.
Das ReliaQuest Threat Research Team dokumentiert eine Kampagne, bei der Angreifer über schwache oder wiederverwendete Admin-Zugangsdaten und exponierte Schnittstellen wie SSH, SNMP und Web-Konsolen in WLAN-Gateways eindringen. Mit Admin-Zugriff auf das Gateway können sie DNS-Anfragen manipulieren und Nutzer-Traffic zu eigener Infrastruktur umleiten. Betroffene Geräte werden so auf Phishing-Domains wie m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com und ms365-live[.]com weitergeleitet, wo Microsoft-365-Anmeldedaten abgegriffen werden – ohne jemals das Endgerät selbst anzutasten.
Für CISOs ist die Angriffsmethode deshalb kritisch, weil sie auf der Netzwerk-Peripherie ansetzt und Gateway-seitig operiert. Das bedeutet: Endpoint-basierte Sicherheitsmechanismen und Geräte-Sichtbarkeit helfen nicht. Der Angreifer muss nicht in Unternehmensnetze eindringen. Reisende Mitarbeiter auf vermeintlich sicheren Hotel-Netzen sind das Ziel, und ein kompromittiertes Microsoft-365-Konto kann – wie ReliaQuest anmerkt – über SharePoint-Exfiltration zu bedeutsamen Datenverlusten kaskadieren.
Die Kampagne wurde in mehreren US-Städten sowie in Indien und Saudi-Arabien nachgewiesen. Betroffene Unternehmen stammen aus Finanzdienstleistungen, Jura, Einzelhandel, Gesundheitswesen und Energie. Für Netzwerk-Betreiber entsteht zusätzlich ein Reputationsschaden, da Nutzer-Kompromittierung ein fundamentales Vertrauens- und Marken-Problem darstellt.
Klassische Abhilfen wie das Festlegen von DNS-Providern (Google 8.8.8.8, Cloudflare 1.1.1.1, OpenDNS) sind unzureichend, weil sie nur die Zieldomain ändern, nicht aber wer die Netzwerk-Route kontrolliert. DNS-Queries werden standardmäßig unverschlüsselt übertragen und müssen das Gateways passieren, bevor sie den externen Resolver erreichen. DNSSEC mit digitalen Signaturen bietet nur partielle Abhilfe.
Quelle: www.csoonline.com · Erschienen 28. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.