ハッカーがホテルや公共Wi-Fiを悪用して旅行者を標的にHackers target travelers through hotel and public Wi‑Fi networks
匿名の公開いいねです。記事の保存・お気に入りではなく、Featured、Top 3、重要度、掲載順位には影響しません。仕組みとプライバシーAnonymous public likes are reactions, not saved articles or bookmarks. They do not affect Featured, Top 3, importance, or listing order.How it works and privacy
Microsoftは、国家支援グループ「Midnight Blizzard」がホテルや公共Wi-Fiのキャプティブポータルを悪用し、旅行者のマルウェア感染と認証情報窃取を狙う攻撃キャンペーン「CaptiveCrunch」を確認したと報告した。
Microsoft has identified a campaign dubbed CaptiveCrunch in which Midnight Blizzard exploits hotel and public Wi-Fi captive portals to deliver malware and steal credentials from travelers worldwide.
本ページの本文と要約は AI による自動生成です。日本語版と英語版は言語ごとに独立して生成されるため、表現や詳しさが異なる場合があります。正確性は元記事 (microsoft.com) をご確認ください。The body and summaries are AI-generated independently for each language, so wording and detail may differ. Verify accuracy at the original source (microsoft.com).
要約と収集メタデータに基づく AI 解説。元記事全文の転載・翻訳ではありません。AI explainer based on the summaries and collected metadata, not a copy or translation of the full source article.
Storm-2945
Microsoft Threat Intelligenceは、2026年5月初旬以降、国家支援グループ「Midnight Blizzard」のサブクラスターであるStorm-2945による攻撃を観測した。ホテルや公共Wi-Fiのキャプティブポータルを悪用し、世界中の旅行者に対するマルウェア感染と認証情報窃取を狙うキャンペーンで、「CaptiveCrunch」と呼ばれている。
キャプティブポータル
攻撃では、世界各地のホスピタリティ分野のネットワークに関係するキャプティブポータルを介し、広範囲ながら標的を絞ったトラフィック操作が行われている。Microsoftは、2026年4月に公開したForest BlizzardのDNSハイジャック作戦と、一部の戦術、技術、手順に類似点があると説明している。一方、CaptiveCrunch自体はStorm-2945によるものと判断している。
AitMフィッシング
ReliaQuestが2026年7月23日に報告した活動の一部では、Microsoftのオンラインサービスを模倣したドッペルゲンガードメインが使われている。これらのドメインは、その後のAitMフィッシングに利用され、Microsoft Entra IDのデバイスコード認証フローが悪用されるという。認証情報の窃取を狙う経路として、この認証フローが攻撃に組み込まれている。
マルウェア配信
Microsoft Threat Intelligenceは、影響を受けたシステムへのマルウェア配信につながる、進行中のトラフィック操作攻撃も特定している。CaptiveCrunchでは、偽装ドメインを使ったAitMフィッシングだけでなく、操作された通信を通じたマルウェア配信も確認されている。
CaptiveCrunch
Microsoft has identified CaptiveCrunch, a campaign targeting travelers through hotel and public Wi-Fi captive portals worldwide. The activity matters because Microsoft says the attacks can manipulate network traffic, deliver malware to affected systems, and support attempts to steal credentials.
Microsoft Threat Intelligence has observed the campaign since early May 2026. It describes the activity as widespread but targeted and involving hospitality-sector networks served by captive portals around the world.
Storm-2945 and Midnight Blizzard
Microsoft attributes CaptiveCrunch to Storm-2945, which it identifies as a sub-cluster of the state-sponsored group Midnight Blizzard. The campaign uses hospitality networks and captive portals as part of its traffic manipulation attacks.
The activity has some similarities in tactics, techniques, and procedures to a Forest Blizzard DNS hijacking operation that Microsoft publicly disclosed in April 2026. Despite those similarities, Microsoft attributes this separate campaign to Storm-2945.
Doppelganger domains
A portion of the CaptiveCrunch activity uses doppelganger domains that mimic Microsoft online services, according to reporting from ReliaQuest on July 23. These domains are used in follow-on adversary-in-the-middle phishing operations.
Those phishing operations abuse the device code authentication flow in Microsoft Entra ID. In this part of the campaign, the imitation domains and authentication flow form part of the effort to steal credentials from targeted travelers.
Malware delivery
Microsoft Threat Intelligence has also identified active traffic manipulation attacks that lead to malware being delivered to impacted systems. This activity accompanies the campaign’s credential-theft operations and its abuse of captive portals.
Together, the observed techniques show how CaptiveCrunch uses hotel and public Wi-Fi environments to target travelers worldwide. Microsoft’s attribution distinguishes the campaign from the previously disclosed Forest Blizzard operation while linking it specifically to Storm-2945 within Midnight Blizzard.
ポコとTECHガイドPoko & TECH Guide
ポコと当サイトのTECHガイドが、記事の要約と収集した情報から読みどころを語るAI生成の対話です。Poko and TECH Dashboard's own TECH Guide discuss the article's highlights in an AI-generated conversation based on its summary and collected source details.
- ポコPokoホテルのWi-Fiにつないだだけで、偽画面に誘導されてマルウェアまで入れられるの？キャプティブポータルって何？Can connecting to hotel Wi-Fi really lead to a fake page and even malware? And what’s a captive portal?
- TECHガイドTECH Guideキャプティブポータルは、Wi-Fi接続時に出るログイン画面のことじゃ。Microsoftは、通信を操作して認証情報を盗み、マルウェアを届ける攻撃を確認したのう。A captive portal is the sign-in page shown when you join Wi-Fi. Microsoft says attackers manipulated traffic around these portals to steal credentials and deliver malware.
- ポコPokoつまり旅行者にとっては、ホテルの受付だと思って進んだら、途中に偽の係員が立っているようなもの？So for travelers, is it like heading to the hotel desk but finding a fake staff member intercepting you along the way?
- TECHガイドTECH Guide近いのう。報告では、Microsoftのサービスに似せたドメインで間に割り込み、Microsoft Entra IDのデバイスコード認証を悪用する手口も確認されておる。That’s close. The report describes lookalike Microsoft domains used to intercept users and abuse the device-code authentication flow in Microsoft Entra ID.
- ポコPokoへえ、普通の接続画面に見えても、旅行者のログイン情報や端末が狙われるかもしれないんだね。Wow, so even a normal-looking connection page could put a traveler’s login details or device at risk.
- TECHガイドTECH Guideただ、本文では「広範囲だが標的を絞った」攻撃とされておる。似た手口はあっても、CaptiveCrunchはStorm-2945によるものと分析されているのじゃ。One nuance: the piece calls the attacks widespread but targeted. Despite similarities to another operation, Microsoft attributes CaptiveCrunch to Storm-2945.
