Ataques a redes Wi‑Fi de hotéis e centros de convenções estão sendo usados como porta de entrada para roubar contas do Microsoft 365, por meio de manipulação de DNS e de golpes de phishing com código de dispositivo. Pesquisadores da empresa de segurança ReliaQuest vêm observando essa campanha desde junho, com registros em várias cidades dos Estados Unidos, na Índia e na Arábia Saudita, o que indica uma operação organizada e em escala internacional.
Como o ataque começa: tomada do gateway Wi‑Fi
O ponto central da campanha é o gateway Wi‑Fi utilizado para distribuir acesso à internet em hotéis e espaços de eventos. Esse equipamento normalmente é administrado por uma interface de gerenciamento exposta na internet, o que permite acesso remoto por técnicos… e também por criminosos, quando a proteção é fraca.
Segundo a ReliaQuest, os invasores exploram dois problemas clássicos:
– Credenciais fracas (como “admin/admin” ou variações previsíveis)
– Senhas reutilizadas em vários dispositivos ou serviços
Uma vez dentro da área de administração, eles não precisam derrubar a rede nem instalar malwares no equipamento: basta alterar as configurações de DNS do gateway.
O papel do DNS no golpe
O DNS (Sistema de Nomes de Domínio) funciona como uma “agenda telefônica” da internet: ele traduz nomes como “microsoft.com” em endereços IP que os computadores conseguem acessar. Se um atacante controla o DNS que seu dispositivo está usando, ele pode decidir para onde o seu navegador será direcionado ao digitar um endereço.
No cenário observado, após comprometer o gateway, os criminosos substituem os servidores DNS legítimos por servidores controlados por eles. A partir daí, todo usuário conectado àquele Wi‑Fi passa a ter o tráfego de resolução de nomes parcialmente sob controle do invasor.
Isso permite que, quando alguém tenta acessar a página legítima de login da Microsoft, seja furtamente redirecionado para um site falso, sem que o endereço aparente, o visual ou o fluxo de login levantem suspeitas evidentes.
Páginas de phishing quase idênticas ao login da Microsoft
Os domínios usados nos golpes frequentemente contêm termos como “ms365” e “m365”, o que ajuda a passar uma aparência de legitimidade. A cópia da página de login é meticulosa: logotipo, esquema de cores, campos de usuário e senha e até mensagens de erro são replicados.
Como o usuário já espera ver a página da Microsoft ao tentar acessar o e‑mail corporativo ou o OneDrive, a chance de ele não perceber a fraude e inserir suas credenciais aumenta significativamente. Esse tipo de ataque é particularmente perigoso em viagens a trabalho, quando executivos e funcionários de diferentes níveis acessam dados sensíveis usando a rede do hotel.
Phishing com código de dispositivo: um golpe mais sofisticado
Além da clonagem clássica da página de login, os pesquisadores identificaram o uso de uma técnica mais avançada: o phishing com código de dispositivo. A Microsoft oferece autenticação por código de dispositivo para equipamentos com entrada limitada, como smart TVs, dispositivos IoT e impressoras. O fluxo legítimo funciona assim:
1. O dispositivo exibe um código exclusivo.
2. O usuário vai até uma página da Microsoft em um navegador comum.
3. Ele insere esse código.
4. A Microsoft emite um token que autoriza aquele dispositivo “limitado” a acessar a conta.
O problema é que os criminosos estão se aproveitando desse mecanismo.
Como funciona o phishing de código de dispositivo na prática
No golpe, quem gera o código não é um dispositivo legítimo, mas sim o próprio atacante, a partir de sua infraestrutura controlada. Depois, ele envia esse código à vítima, geralmente por e‑mail de phishing, mensagem instantânea ou mesmo por páginas manipuladas via DNS.
O golpe costuma seguir esta sequência:
1. O usuário recebe um código “da Microsoft” com um pedido aparentemente legítimo, como “validação de segurança”, “confirmação de login” ou “habilitação de novo dispositivo”.
2. No mesmo conteúdo, há um link para uma página genuína da Microsoft, o que aumenta a confiança da vítima.
3. A vítima acessa a página oficial e insere o código fornecido.
4. A Microsoft, sem saber da fraude, gera o token de autorização.
5. O token é entregue ao dispositivo que originou o pedido – controlado pelo atacante.
Com esse token em mãos, o criminoso passa a acessar a conta Microsoft da vítima como se fosse o dispositivo “autorizado”, podendo ler e-mails, baixar arquivos, exfiltrar dados sensíveis ou preparar novos ataques internos à organização.
Integração com o ataque de DNS
No contexto específico dos gateways Wi‑Fi comprometidos, o redirecionamento DNS é usado para exibir à vítima:
– Uma página de phishing que mostra um código de dispositivo
– Em paralelo, uma janela legítima de login da Microsoft, para inserir esse código
Esse “duplo painel” dá uma forte sensação de legitimidade. A vítima vê o código em uma página “muito parecida” com a da Microsoft e, logo ao lado, vê o formulário original da empresa, servido de fato a partir da infraestrutura oficial. Ao inserir o código ali, ela realiza, sem perceber, a etapa crítica que entrega o acesso à sua conta.
Por que esse tipo de ataque é tão eficaz em viagens
Redes de hotéis e centros de convenções são alvos ideais por diversos motivos:
– Alto volume de usuários temporários, reduzindo a chance de que alguém perceba um padrão estranho.
– Visitantes focados em trabalho, eventos ou deslocamentos, com menos atenção a detalhes técnicos.
– Presença comum de executivos, profissionais de vendas e tomadores de decisão com acesso a informações valiosas.
– Equipamentos pessoais e corporativos misturados no mesmo ambiente de rede.
Além disso, muitos usuários têm a percepção equivocada de que a rede Wi‑Fi de um hotel “conhecido” é intrinsecamente segura, o que faz com que desativem proteções como VPNs corporativas e fiquem mais vulneráveis.
Como se proteger: boas práticas para usuários
A ReliaQuest destaca duas configurações técnicas muito eficazes contra esse tipo de ataque, mas existem também hábitos que qualquer pessoa pode adotar. Do ponto de vista técnico:
1. Uso de VPN de túnel completo
Quando a VPN está configurada em modo de túnel completo, todo o tráfego – inclusive consultas de DNS – passa pelo túnel criptografado até os servidores da organização ou provedores confiáveis. Nesse cenário, o gateway Wi‑Fi do hotel não consegue alterar as configurações de DNS nem redirecionar domínios para servidores maliciosos.
2. DNS criptografado em modo estrito
Tecnologias como DNS sobre HTTPS (DoH) ou DNS sobre TLS (DoT), configuradas em modo estrito, impedem o fallback para DNS em texto simples. Isso significa que, mesmo que o gateway do hotel tente forçar o uso de um servidor DNS adulterado, o dispositivo não aceitará a alteração. Sem controle sobre o DNS, o atacante perde a capacidade de redirecionar o usuário para páginas de phishing.
Além desses recursos técnicos, recomenda-se:
– Evitar acessar dados corporativos sensíveis em redes Wi‑Fi públicas sem VPN.
– Desconfiar de qualquer pedido de inserção de código de dispositivo que não tenha sido iniciado pelo próprio usuário.
– Confirmar com a equipe de TI da empresa antes de autorizar “novos dispositivos”, especialmente se o pedido vier por e-mail.
– Preferir o uso da rede móvel (4G/5G) para operações críticas quando a VPN não estiver disponível.
Medidas para hotéis e administradores de rede
Do lado das organizações que fornecem Wi‑Fi, algumas ações reduzem drasticamente o risco:
– Alterar senhas padrão de todos os equipamentos desde a instalação.
– Adotar gerenciadores de senhas e exigir credenciais fortes e únicas para cada gateway.
– Restringir o acesso remoto à interface de administração, usando listas de IPs confiáveis ou VPNs dedicadas.
– Manter firmware e softwares de rede atualizados, corrigindo vulnerabilidades conhecidas.
– Monitorar alterações de configuração, especialmente de DNS, com alertas automatizados.
– Segmentar a rede de hóspedes da rede administrativa e de sistemas internos do hotel.
Além de proteger os clientes, essas medidas ajudam a preservar a reputação do estabelecimento e reduzir riscos legais em caso de incidentes de segurança.
Impacto para empresas que usam Microsoft 365
Para organizações que adotam o Microsoft 365 como base de e-mail, colaboração e armazenamento, o comprometimento de contas pode ter efeitos em cascata:
– Acesso indevido a e-mails confidenciais e anexos sensíveis.
– Uso da conta invadida para envio de phishing interno, aumentando a taxa de sucesso.
– Roubo de documentos estratégicos armazenados no OneDrive ou SharePoint.
– Escalada de privilégios, caso a conta tenha permissões elevadas ou seja usada em múltiplos sistemas.
É fundamental reforçar políticas de autenticação multifator (MFA), revisar periodicamente registros de logins suspeitos e aplicar políticas de acesso condicional, como bloqueios por geolocalização improvável ou por dispositivos não gerenciados.
O papel da conscientização e da resposta rápida
Embora o ataque descrito seja tecnicamente sofisticado, ele ainda depende de cliques e ações de usuários. Programas contínuos de conscientização em segurança, com simulações de phishing e treinamentos práticos, reduzem significativamente a exposição.
Além disso, empresas devem ter processos claros para:
– Reporte imediato de atividades suspeitas em contas Microsoft.
– Revogação de sessões ativas, tokens e dispositivos confiáveis associados à conta.
– Reset forçado de senha e revalidação de MFA após qualquer incidente.
Quanto mais rápido um incidente é identificado e contido, menor é a janela de atuação do criminoso dentro do ambiente corporativo.
Conclusão
A combinação de gateways Wi‑Fi comprometidos, manipulação de DNS e phishing com código de dispositivo mostra como atacantes estão explorando, de forma criativa, tecnologias legítimas para burlar defesas tradicionais. Usuários em viagem, hotéis e empresas que utilizam Microsoft 365 precisam reforçar tanto a proteção técnica – com VPN de túnel completo e DNS criptografado – quanto a atenção ao comportamento suspeito de logins e solicitações de códigos.
Segurança em redes públicas não pode ser tratada como detalhe: ela se tornou um ponto crítico na proteção de contas corporativas e na prevenção de vazamentos de dados em larga escala.