Wi-Fi de hotéis vira alvo de ataque que rouba contas e instala vírus

CaptiveCrunch é o nome dado pela Microsoft a uma campanha observada em redes do setor de hospitalidade e em outros ambientes que usam portais cativos. Esses portais são as páginas exibidas antes de o usuário conseguir navegar em uma rede pública ou de convidados.

A empresa atribui a operação ao Storm-2945, um subgrupo ligado ao Midnight Blizzard. O objetivo observado inclui espionagem e acesso a contas corporativas de pessoas que viajam a trabalho, e não ataques aleatórios contra todos os hóspedes.

O invasor se coloca no caminho da conexão e manipula tráfego DNS e HTTP. Com isso, uma checagem automática feita pelo navegador para saber se a internet está disponível pode terminar em uma página controlada pelo atacante.

A vítima então vê uma falsa atualização de navegador, Windows ou ferramenta de reparo. Em outras situações, recebe instruções para inserir um código em uma página legítima da Microsoft, mas esse código autoriza a sessão iniciada pelo criminoso.

A Microsoft encontrou programas capazes de registrar teclas, copiar arquivos, capturar senhas, cookies e tokens de sessão, monitorar dispositivos removíveis e abrir uma conexão remota com o computador. Algumas páginas também apresentaram instruções para instalar arquivos APK em aparelhos Android.

Cookies e tokens roubados são especialmente perigosos porque podem manter uma sessão aberta mesmo sem a senha. Por isso, trocar apenas a senha pode não ser suficiente depois de uma infecção; sessões ativas e dispositivos autorizados também precisam ser revogados.

Não. A investigação encontrou redes afetadas em vários países, mas não publicou uma lista de todos os hotéis nem afirma que qualquer rede pública instala vírus. O risco está em tratar uma rede compartilhada como se fosse tão confiável quanto a conexão de casa ou da empresa.

O sinal mais importante é um pedido inesperado para baixar atualização, certificado, aplicativo, ferramenta de segurança ou comando de terminal. Um portal de Wi-Fi pode pedir autenticação, porém não deve exigir que o usuário execute programas para liberar a internet.

Para acessar banco, e-mail corporativo ou arquivos sensíveis, prefira a rede móvel do celular ou um hotspot próprio. Se precisar usar a rede do local, confirme o nome correto com a recepção, mantenha o compartilhamento de arquivos desativado e use autenticação multifator resistente a phishing quando disponível.

Atualize o aparelho antes da viagem e faça novas atualizações somente pelas configurações oficiais do sistema ou pela loja de aplicativos. Não copie comandos de uma página de verificação e não reutilize a senha do trabalho no cadastro do Wi-Fi.

Desconecte o aparelho da rede, não continue acessando contas e procure o suporte de tecnologia da empresa, caso seja um equipamento corporativo. Em um dispositivo pessoal, execute a verificação de segurança por uma ferramenta confiável já instalada e considere buscar assistência técnica.

A partir de outro aparelho seguro, encerre sessões das contas importantes, altere senhas únicas e confira novos dispositivos, regras de e-mail e métodos de recuperação. Se houver movimentação bancária ou exposição de dados, avise imediatamente a instituição responsável.