Microsoft'tan yolculara otel Wi-Fi ağları için kritik uyarı

VGN

Microsoft, 31 Temmuz tarihli raporunda CaptiveCrunch adlı kampanyada ele geçirilen otel Wi-Fi ağlarının yolcuları sahte sayfalara yönlendirdiğini ve cihazlara casus yazılım yükleyebildiğini tespit ettiğini açıkladı.

Microsoft, seyahat edenleri otel, konferans merkezi ve havaalanlarında kullanılan ortak Wi-Fi ağlarına karşı uyardı. Şirketin güvenlik birimi, Rusya bağlantılı bir hacker grubunun ele geçirilen kablosuz ağlar üzerinden yolcuları sahte giriş ve güncelleme sayfalarına yönlendirdiğini açıkladı.

CaptiveCrunch adı verilen saldırı kampanyasının Mayıs 2026'dan bu yana farklı ülkelerdeki konaklama ve misafir ağlarını hedef aldığı belirlendi. Saldırılarda özellikle iş seyahatindeki kişilerin Microsoft 365 hesaplarına ve şirket bilgilerine ulaşılmaya çalışıldığı değerlendiriliyor.

Otelin gerçek ağı da ele geçirilebiliyor

Saldırının en dikkat çekici yönünü, kullanıcıların yalnızca sahte bir Wi-Fi ağına bağlanmasının gerekmemesi oluşturuyor. Hackerlar, otel veya konferans merkezine ait gerçek kablosuz ağın internet yönlendirme sistemini ele geçirebiliyor.

Ağa bağlanan yolcu, cihazının internete eriştiğini düşünürken saldırganların kontrolündeki bir sayfaya yönlendirilebiliyor. Otelin Wi-Fi adı doğru görünebildiği ve diğer internet siteleri normal biçimde açılabildiği için saldırının fark edilmesi güçleşiyor.

Saldırganların alan adı yönlendirmelerini değiştirdiği ve kullanıcıları Microsoft hizmetlerini taklit eden internet sayfalarına gönderdiği belirtiliyor. Bu sayfalarda girilen e-posta adresleri, parolalar ve oturum bilgileri hackerların eline geçebiliyor.

Sahte güncelleme ekranı gösteriliyor

Bazı kullanıcılara Windows, internet tarayıcısı, güvenlik yazılımı veya ağ sürücüsü güncellemesi gibi görünen sahte bildirimler gösteriliyor. Kullanıcının ekrandaki talimatları uygulaması veya sunulan dosyayı çalıştırması durumunda cihaza zararlı yazılım yüklenebiliyor.

Saldırılarda kullanılan CornFlake adlı uzaktan erişim yazılımı, klavye girişlerini ve parola alanlarını kaydedebiliyor. Yazılım ayrıca ekran görüntüsü alabiliyor, panodaki verileri kopyalayabiliyor, dosyaları toplayabiliyor ve bilgisayara takılan taşınabilir bellekleri tarayabiliyor.

Zararlı yazılımın cihazın mikrofonu ve kamerası üzerinden ses ve görüntü kaydı yapabildiği, tarayıcılarda kayıtlı parolalar ile oturum bilgilerini ele geçirebildiği de belirlendi. Hackerlar, ele geçirilen bilgisayarda uzaktan komut çalıştırma olanağına da sahip olabiliyor.

ChocoShell adı verilen başka bir zararlı yazılımın ise Microsoft 365, Azure Active Directory ve tarayıcı oturumlarına ait erişim belirteçlerini toplamaya çalıştığı kaydedildi. Çalınan oturum bilgileri, saldırganların bazı durumlarda parolayı yeniden girmeden hesaplara erişmesine imkân verebiliyor.

Gerçek Microsoft sayfası da kullanılabiliyor

Saldırganların kullandığı yöntemlerden biri de cihaz kodu üzerinden kimlik avı olarak tanımlanıyor. Kullanıcı, hackerların verdiği kodu Microsoft'a ait gerçek giriş sayfasına yazmaya yönlendiriliyor.

Sayfa gerçek olmasına rağmen kod saldırgan tarafından başlatılan oturuma ait oluyor. Kullanıcının işlemi onaylaması durumunda kendi hesabına giriş yaptığını düşünürken hackerın açtığı oturuma erişim izni verebiliyor.

Bu yöntemin çok aşamalı kimlik doğrulamasını etkisiz bırakabildiği belirtiliyor. Kullanıcının kendisinin başlatmadığı bir cihaz ekleme veya oturum onayı talebini kabul etmemesi gerekiyor.

Rusya bağlantılı grup üzerinde duruluyor

Microsoft, kampanyayı Storm-2945 adıyla izlenen ve Midnight Blizzard grubunun bir alt yapılanması olduğu değerlendirilen hacker grubuyla ilişkilendirdi. ABD ve Birleşik Krallık makamları Midnight Blizzard'ı Rusya Dış İstihbarat Servisi SVR ile bağlantılı kabul ediyor.

Grubun daha önce hükümet kurumları, diplomatik kuruluşlar, sivil toplum örgütleri ve teknoloji şirketlerini hedef aldığı biliniyor. Son kampanyada yapay zekâ araçlarından da yararlanıldığı tespit edildi.

Saldırılardan etkilenen otellerin, konferans merkezlerinin ve internet hizmeti sağlayıcılarının isimleri açıklanmadı. Kaç cihazın etkilendiği veya kaç hesabın ele geçirildiği konusunda da kesin bir sayı paylaşılmadı. Kablosuz ağ sistemlerine ilk erişimin nasıl sağlandığına ilişkin araştırma sürüyor.

Yolcular nasıl korunabilir?

Yolcuların mümkün olduğunda otel ve havaalanı Wi-Fi ağları yerine telefonlarının mobil erişim noktasını veya eSIM bağlantısını kullanmaları öneriliyor. Ortak bir ağa bağlanılması gerekiyorsa şirket tarafından yönetilen güvenli bir bağlantı ya da VPN tercih edilebilir.

Otelin internet giriş sayfasında gösterilen yazılım, tarayıcı, sertifika veya güvenlik güncellemeleri indirilmemeli. Güncellemeler yalnızca cihazın işletim sistemindeki resmî güncelleme bölümünden yapılmalı.

Microsoft 365 hesabına giriş yapmadan önce adres çubuğundaki alan adının tamamı kontrol edilmeli. İçinde Microsoft veya 365 kelimelerinin bulunması, internet sitesinin gerçek olduğu anlamına gelmiyor.

Kullanıcının kendisinin başlatmadığı oturum açma, cihaz ekleme veya kod onaylama talepleri kabul edilmemeli. Otel Wi-Fi kayıt sayfalarında kurumsal e-posta parolaları kullanılmamalı ve hassas hesaplara ortak ağlardan giriş yapılmamalı.