Hotel-WLAN-Angriff: Hacker umgehen Microsoft-365-MFA gezielt
Veröffentlicht am: 25.07.2026 um 16:42 Uhr | Redaktion boerse-global.de
Seit Juni 2025 manipulieren Angreifer die WLAN-Infrastruktur in Hotels und Konferenzzentren. Ihr Ziel: der Diebstahl von Microsoft-365-Zugangsdaten – inklusive Umgehung der Multi-Faktor-Authentifizierung (MFA).
Sicherheitsanalysten von ReliaQuest haben die Kampagne aufgedeckt. Die Täter verschaffen sich Zugriff auf die Verwaltungsschnittstellen von Captive-Portal-Geräten – jenen Gateways, die für die Anmeldung in öffentlichen WLAN-Netzen zuständig sind. Offene Protokolle wie SSH, SNMP oder Weboberflächen mit schwachen Passwörtern machen den Einbruch leicht.
DNS-Vergiftung leitet Nutzer um
Einmal im System, vergiften die Angreifer die DNS-Einstellungen. Legitime Anfragen an Microsoft-Dienste werden auf bösartige Domains umgeleitet – darunter Adressen wie m365-owa[.]com, owa-ms365[.]com oder ms365-live[.]com.
Wer versucht, seine E-Mails oder Unternehmensanwendungen zu erreichen, landet stattdessen auf täuschend echt wirkenden Phishing-Seiten. Die Opfer geben dort ahnungslos ihre Zugangsdaten preis.
Rekord-Schäden durch Phishing zeigen, wie verwundbar die digitale Kommunikation in Unternehmen geworden ist. In diesem kostenlosen Anti-Phishing-Paket erklären Experten, wie Sie Angriffe frühzeitig entlarven und Ihre Firma wirksam schützen. Kostenlosen Leitfaden zur Hacker-Abwehr herunterladen
MFA ausgehebelt – Gerätecode-Flow als Einfallstor
Besonders perfide: Die Hacker hebeln die Multi-Faktor-Authentifizierung aus. Sie missbrauchen den sogenannten Gerätecode-Authentifizierungsfluss (Device-code flow). Dem Opfer wird ein Code angezeigt, den es auf einer gefälschten Microsoft-Seite eingeben soll.
Passiert das, generieren die Angreifer ein OAuth-Token. Dieses gewährt dauerhaften Zugriff auf das Konto – ohne weitere MFA-Abfrage. In etwa einem Drittel der untersuchten Fälle nutzten die Täter zudem das Web Proxy Auto-Discovery Protocol (WPAD), um die Kontrolle über den Netzwerkverkehr zu verstärken.
USA, Indien, Saudi-Arabien im Fokus
Die Kampagne hat geografische Schwerpunkte. Bisher dokumentierten die Analysten Vorfälle primär in den USA, Indien und Saudi-Arabien. Die Angreifer zielen gezielt auf Branchen mit sensiblen Daten:
- Finanzdienstleistungen und professionelle Dienstleister
- Rechtsberatung und Anwaltskanzleien
- Gesundheitswesen
- Energiesektor
- Einzelhandel
Die angewandten Taktiken und die technische Infrastruktur weisen Parallelen zur bekannten Gruppierung APT28 auf – auch bekannt als Fancy Bear oder FrostArmada.
Dass Hacker selbst MFA-Hürden überwinden, verdeutlicht die Notwendigkeit neuer Sicherheitsstandards. Dieser Gratis-Report erläutert, wie Sie mit der Passkey-Technologie Ihre Konten bei Microsoft und Co. ohne klassische Passwörter absichern können. Jetzt kostenlos über passwortlose Sicherheit informieren
So schützen sich Unternehmen und Reisende
Sicherheitsexperten raten zu mehreren Maßnahmen. Der wichtigste Schutz: die konsequente Nutzung von Full-Tunnel-VPN-Verbindungen. Sie leiten den gesamten Datenverkehr – inklusive DNS-Anfragen – verschlüsselt durch einen gesicherten Tunnel. Manipulierte lokale Gateways können darauf nicht zugreifen.
Zusätzlich sollten Reisende verschlüsseltes DNS im strikten Modus verwenden und WPAD auf ihren Geräten deaktivieren. Administratoren von Microsoft-365-Umgebungen sollten prüfen, ob der Gerätecode-Flow für ihre Organisation deaktiviert werden kann – das schließt diesen spezifischen Angriffsvektor.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
