La pagina di accesso al Wi-Fi nella hall di un hotel è lo schermo più innocuo che un viaggiatore veda in tutta la giornata. Microsoft ha appena raccontato cosa succede quando quella pagina appartiene all'intelligence russa: la campagna CaptiveCrunch è attiva da inizio maggio 2026 e usa i captive portal di alberghi e centri congressi per far passare gli ospiti dall'infrastruttura degli attaccanti e consegnare malware travestito da normale aggiornamento del browser.
Chi c'è dietro
Microsoft Threat Intelligence attribuisce l'operazione a Storm-2945, nuovo sottogruppo di Midnight Blizzard, noto anche come APT29 o Cozy Bear, che Stati Uniti e Regno Unito collegano al servizio di intelligence estera russo, l'SVR. Il bersaglio sono i viaggiatori d'affari: reti del settore alberghiero in diversi paesi, scelte per un motivo semplice, è lì che si collegano i portatili interessanti.
Come funziona l'attacco
La catena è breve e non richiede alcuna falla nel tuo dispositivo:
- Il portale è l'uomo nel mezzo. Compromessa la rete dell'hotel, il captive portal manipola il traffico DNS e HTTP e instrada gli ospiti attraverso l'infrastruttura degli attaccanti.
- L'esca è un aggiornamento. Al posto della solita pagina "sei connesso", l'ospite riceve un invito convincente a installare un aggiornamento del browser o del sistema, in stile ClickFix, dove è l'utente stesso a eseguire un comando o uno script.
- Poi arrivano due payload. CornFlake è un trojan di accesso remoto per Windows scritto in Go: keylogger, monitoraggio degli appunti, screenshot, audio e video, furto di credenziali dal browser e shell remota. ChocoShell è uno stealer PowerShell che gira in memoria: cookie, password salvate, token di single sign-on Microsoft 365 e credenziali Wi-Fi.
I token Microsoft 365 sono l'obiettivo vero. Con un token di sessione valido la password non serve e il secondo fattore non scatta: l'attaccante prosegue la tua sessione dalla propria macchina.
Perché qui i consigli soliti non reggono
"Guarda il lucchetto" non aiuta: la pagina di phishing arriva in HTTPS con un certificato valido proprio. "Non scaricare da siti strani" nemmeno: l'invito ad aggiornare compare esattamente sulla pagina che ti aspettavi. L'attaccante possiede il primo salto della rete, l'unico punto che il tuo portatile non può verificare.
Cosa consiglia Microsoft
- Preferire la connessione propria al Wi-Fi pubblico quando possibile: hotspot dal telefono o travel router gestito dall'azienda.
- Non installare mai aggiornamenti proposti da un captive portal e non incollare i comandi che suggerisce.
- Passare all'accesso senza password e a un secondo fattore resistente al phishing, bloccando il device code flow dove l'organizzazione può.
Dove la VPN aiuta davvero e dove no
Un tunnel attivato prima di aprire il browser toglie la leva all'attaccante: le query DNS si risolvono dentro il tunnel e il portale non decide più dove arriva il tuo traffico. È esattamente il punto debole su cui si regge la campagna, ed è quello che un canale cifrato chiude.
L'ordine conta più del marchio. Il captive portal va comunque attraversato per primo, ed è in quella finestra che avviene la manipolazione: la sequenza sicura è connettersi, non accettare nulla, alzare il tunnel e solo dopo lavorare. A posteriori nessun tunnel salva: se hai eseguito l'"aggiornamento", il malware è già sulla macchina e cifrare il traffico non cambia niente.
