Hotel-WLAN als Angriffspfad: Midnight Blizzard greift Microsoft-365-Konten an — so schützen Sie Geschäftsreisende jetzt

Microsoft Threat Intelligence hat eine Angriffskampagne dem Bedrohungsakteur Midnight Blizzard — auch bekannt als APT29 — zugeordnet. Das klingt nach einem Geheimdienstbericht ohne unmittelbaren Bezug zum Unternehmensalltag. Ist es aber nicht: Die Kampagne nutzt laut Microsoft die WLAN-Infrastruktur von Hotels, um Microsoft-365-Konten von Gästen anzugreifen. Der beschriebene Angriffsweg ist bemerkenswert niedrigschwellig — das WLAN im Hotel, in dem Ihre Mitarbeiter auf Geschäftsreise übernachten.

Midnight Blizzard ist kein gewöhnlicher Bedrohungsakteur. Microsoft ordnet die Gruppe dem russischen Auslandsgeheimdienst SVR zu. Nach Erkenntnissen westlicher Sicherheitsbehörden soll sie unter anderem an der Lieferkettenkompromittierung über SolarWinds-Software im Jahr 2020 beteiligt gewesen sein. Ihr bekanntes Zielspektrum umfasst Regierungsbehörden, Technologieunternehmen und diplomatische Einrichtungen — was nicht bedeutet, dass andere Unternehmen kein Angriffsziel darstellen können.

Wie der Angriff aufgebaut ist

Der Bericht beschreibt, wie die Angreifer die WLAN-Infrastruktur von Hotels kompromittieren oder sich im Netzwerk positionieren, um Datenverkehr zwischen Gästen und dem Netzwerk abzufangen. Im Rahmen der Kampagne kommt nach bisherigen Erkenntnissen eigens entwickelte Schadsoftware zum Einsatz — kein handelsübliches Werkzeug. Ziel ist der Zugriff auf Microsoft-365-Zugangsdaten der betroffenen Gäste: Tokens, Sitzungsdaten und Anmeldeinformationen, über die Angreifer auf E-Mail, Teams, SharePoint und OneDrive zugreifen können.

Relevant ist dabei das Vertrauen, das Hotelgäste dem Hotelnetz häufig entgegenbringen: Das Netz trägt den Namen des Hotels, der Empfang hat es empfohlen. Dieser Vertrauensbonus ist Teil der Angriffslogik.

Warum das auch Ihr Unternehmen betreffen kann

Das Targeting auf Hotelgäste folgt einer nachvollziehbaren Logik: Wer reist, hat häufig Kontakt zu Entscheidungsträgern, ist auf Messen, Partnertreffen oder Verhandlungen unterwegs. Ein Mitarbeiter auf Geschäftsreise kann für einen Angreifer ein interessanteres Ziel darstellen als derselbe Mitarbeiter hinter der Unternehmens-Firewall.

M365-Konten bieten je nach Konfiguration weitreichenden Zugriff. Ein kompromittiertes Konto kann unter bestimmten Voraussetzungen als Ausgangspunkt für weitergehende Zugriffe genutzt werden — abhängig von der Sicherheitsarchitektur, den vergebenen Berechtigungen und den konfigurierten Schutzmechanismen. Betroffen sein können auch Unternehmen, die nicht primär im Fokus solcher Operationen stehen.

Was Sie konkret prüfen sollten

VPN für Geschäftsreisen. Ein VPN schützt gegen netzwerkbasiertes Abfangen von Datenverkehr — also den hier beschriebenen Angriffsweg. Legen Sie fest, unter welchen Bedingungen Mitarbeiter auf Reisen ein VPN nutzen müssen. Beachten Sie: VPN schützt primär gegen netzwerkbasierte Angriffe. Phishing-Varianten oder Device-Code-Angriffe, die zum dokumentierten APT29-Portfolio gehören, erfordern zusätzliche Maßnahmen.

Phishing-resistente MFA. Einfaches SMS-OTP oder App-Benachrichtigungen bieten gegen Token-Diebstahl und Session-Hijacking nur begrenzten Schutz. FIDO2-Hardware-Keys oder zertifikatsbasierte Authentifizierung sind robuster und empfehlenswert für Konten mit Zugriff auf Unternehmensdaten.

Conditional Access in Microsoft Entra ID. Policies, die den M365-Zugriff auf bekannte Standorte oder verwaltete Geräte einschränken, können verhindern, dass ein gestohlener Token aus einem Hotelnetz Zugriff auf Unternehmensdaten ermöglicht. Ergänzend lohnt ein Blick auf Token Protection und Continuous Access Evaluation (CAE).

Sign-in-Logs überwachen. Entra ID protokolliert Anmeldestandorte. Erscheint für einen Account, der normalerweise aus Deutschland kommt, plötzlich ein Zugriff aus einem unbekannten Standort, sollte das — bei korrekt konfigurierter Entra ID Protection — automatisch Alarm auslösen.

Mitarbeiter informieren. Hotel-WLAN ist nicht per se sicher. Wer auf Reisen arbeitet, sollte das Risikoniveau fremder Netze kennen — und wissen, ob und wie der Unternehmenszugang aus solchen Netzen heraus geregelt ist.

Aus unserer Sicht zeigt dieser Fall, wie staatlich finanzierte Bedrohungsakteure gezielt Schwachstellen im Reiseverhalten von Mitarbeitern nutzen. Das verdient Beachtung — auch für Unternehmen, die nicht im direkten Fokus solcher Operationen stehen.

Quellen: Microsoft Threat Intelligence (Zuordnung und technische Details); BleepingComputer — „Hotel Wi-Fi attacks use custom malware to breach Microsoft 365 accounts“ (https://www.bleepingcomputer.com/news/security/hotel-wi-fi-attacks-use-custom-malware-to-breach-microsoft-365-accounts/)