Microsoft warnt vor einer Kampagne namens „CaptiveCrunch“, bei der WLAN-Login-Seiten in Hotels, an Flughäfen und auf Konferenzen kompromittiert werden, um Reisende weltweit anzugreifen. Laut Microsoft läuft die Kampagne seit Anfang Mai 2026: Der Datenverkehr wird über manipulierte Captive Portals umgeleitet, mit NTLM-Relay-Techniken werden Windows-Zugangsdaten abgefangen, und zwei Schadprogramme – der Trojaner „CornFlake“ und die PowerShell-Malware „ChocoShell“ – ermöglichen Fernzugriff sowie Datendiebstahl, insbesondere auf Microsoft-365-Konten.
Microsoft ordnet die Angriffe der Gruppe Storm-2945 zu, einem laut Unternehmen mit dem russischen Geheimdienst SVR verknüpften Ableger von Midnight Blizzard. Diese Zuordnung stammt jedoch allein von Microsoft selbst; eine unabhängige Bestätigung oder eine russische Stellungnahme gibt es nicht. Als Beispiele betroffener Länder werden die USA, Indien und Saudi-Arabien genannt, das tatsächliche Ausmaß der als weltweit beschriebenen Kampagne bleibt offen.
Reisenden wird empfohlen, öffentliche WLANs grundsätzlich zu meiden, stattdessen mobile Datenverbindungen und VPN zu nutzen sowie auf Mehrfaktor-Authentifizierung oder Passkeys zu setzen.
Was Microsoft warnt
Microsoft hat eine Kampagne öffentlich gemacht, bei der Login-Seiten von WLAN-Netzwerken in Hotels sowie an Flughäfen und auf Konferenzen kompromittiert werden, um Reisende gezielt anzugreifen. Das Unternehmen bezeichnet die Kampagne als „CaptiveCrunch“ und beschreibt sie als seit Anfang Mai 2026 aktiv. Ziel sei es, über die manipulierten Netzwerke Schadsoftware zu verbreiten und Zugangsdaten zu Microsoft-365-Konten zu stehlen. Österreichische und deutsche Medien wie Kleine Zeitung, Golem und Der Standard griffen die Warnung Anfang August 2026 auf und wiesen insbesondere auf das Risiko für Fotos, E-Mails und andere über öffentliche Netzwerke abgerufene Daten hin.
Wie die Angriffe ablaufen
Nach Microsofts Darstellung nutzen die Angreifer sogenannte Captive Portals – jene Anmeldeseiten, die sich beim erstmaligen Verbinden mit einem öffentlichen WLAN öffnen. Werden diese Portale kompromittiert, leiten die Angreifer den Datenverkehr per DNS- oder HTTP-Umleitung über eigene Infrastruktur. Betroffene Nutzerinnen und Nutzer bekommen dabei unter anderem gefälschte Software-Update-Hinweise oder nachgeahmte Anmeldeseiten für Cloud-Konten angezeigt. Zusätzlich sollen sogenannte NTLM-Relay-Techniken zum Einsatz kommen, mit denen Windows-Zugangsdaten abgefangen werden. Für die eigentliche Infektion nennt Microsoft zwei Schadprogramme: den in der Programmiersprache Go geschriebenen Trojaner „CornFlake“, der dauerhaften Fernzugriff auf infizierte Geräte ermöglichen soll, sowie die PowerShell-basierte Schadsoftware „ChocoShell“, die auf das Abgreifen von Zugangsdaten und Dateien ausgelegt sei.
Wer laut Microsoft dahinterstecken soll
Microsoft ordnet die Kampagne einer Gruppe mit der Bezeichnung Storm-2945 zu, die das Unternehmen als Teilbereich von Midnight Blizzard einstuft – jener Hackergruppe, die auch unter den Namen Cozy Bear, APT29 oder Nobelium bekannt ist und seit Jahren dem russischen Auslandsnachrichtendienst SVR zugerechnet wird. Diese Einordnung stammt jedoch ausschließlich von Microsoft selbst als direkt betroffener Partei. Eine unabhängige technische Bestätigung durch andere Sicherheitsbehörden oder eine Stellungnahme russischer Stellen liegt bislang nicht vor. Als Beispiele für kompromittierte Netzwerke nennt Microsoft unter anderem die USA, Indien und Saudi-Arabien, beschreibt die Kampagne insgesamt aber als weltweit angelegt.
Was unklar bleibt
Offen bleibt, wie viele Hotels, Flughäfen oder Konferenzzentren tatsächlich betroffen sind und wie viele Reisende oder Unternehmen Opfer der Kampagne wurden. Auch zu möglichen Fällen in Österreich oder anderen europäischen Ländern liegen keine Angaben vor. Ob unabhängige Sicherheitsforscherinnen und -forscher oder Behörden wie das deutsche BSI oder die europäische Cybersicherheitsagentur ENISA die von Microsoft vorgenommene Zuordnung zu Storm-2945 und Midnight Blizzard bestätigen, ist bislang nicht bekannt. Eine Reaktion russischer Stellen auf die Vorwürfe fehlt ebenfalls.
Empfehlungen für Reisende
Microsoft und Sicherheitsdienstleister raten dazu, öffentliche WLAN-Netzwerke in Hotels grundsätzlich als unsicher zu behandeln. Empfohlen werden mobile Datenverbindungen oder eigene Hotspots statt fremder WLANs, der Einsatz von VPN-Verbindungen sowie Mehrfaktor-Authentifizierung beziehungsweise Passkeys anstelle klassischer Passwörter. Zudem wird davon abgeraten, im Rahmen von WLAN-Anmeldeseiten angebotene Software oder angebliche Updates zu installieren.
