乗っ取られたホテルのWi-Fiで偽ブラウザ更新を表示、ロシア政府系組織が情報窃取マルウェアを配信

要点

• ホテルのWi-Fiを悪用し、接続デバイスを偽のアップデートページに誘導する攻撃が確認された。

• 攻撃には、ウェブカメラの画像やキー入力を盗む遠隔操作型のマルウェア「CornFlake」などが使われている。

• 米マイクロソフトは、ロシアの対外情報庁に関連するハッカー集団「Midnight Blizzard」の一部門によるものと分析した。

• 攻撃者はホテルのゲートウェイの管理者権限を悪用し、DNSの応答を偽装してトラフィックを誘導していた。

• 対策として、常時接続のVPNの利用や、ホテルのログイン画面を介したソフトウェア更新の拒否が推奨されている。

• ホテルのWi-Fiを乗っ取り、利用者に偽のソフトウェアアップデートを表示してスパイマルウェアを感染させるサイバー攻撃が発生している。米マイクロソフト（Microsoft）は、この攻撃キャンペーンを「CaptiveCrunch」として追跡し、ロシア政府系のハッカー集団が関与しているとする詳細な調査報告書を公開した。同社によると、この攻撃は2026年5月初旬から、複数の国のホテルネットワークで観測されているという。

攻撃の背景と主導するハッカー集団

マイクロソフトの報告書によると、この攻撃を主導しているのは「Storm-2945」と呼ばれる攻撃グループである。同社は、Storm-2945をロシア政府系ハッカー集団「Midnight Blizzard（ミッドナイト・ブリザード、別名APT29）」の運用サブクラス（活動内容が酷似する下位グループ）であると評価している。Midnight Blizzardは、米英政府がロシア対外情報庁（SVR）に関連付けている高度な国家ハッカー集団だ。

セキュリティ企業のReliaQuest（リリアクエスト）の調査では、侵害されたネットワークでログイン画面を表示するゲートウェイが「DNSリゾルバー（ドメイン名をIPアドレスに変換するシステム）」を兼ねており、攻撃者がその管理者権限を奪取してDNS応答を偽装していた。これにより、ノートPCなどの接続確認処理が偽のブラウザやOSの更新ページへと強制的に誘導されていたという。

巧妙な感染手法と配信されるマルウェア「CornFlake」

この攻撃では自動的に感染（サイレント感染）することはなく、利用者がファイルをダウンロードして実行するか、提示された指示に従うことでマルウェアが侵入する。

画面上にエラーを表示してコマンド実行を促す「ClickFix（クリックフィックス）」という手口が使われており、感染するマルウェア「CornFlake（コーンフレーク）」は、偽の進行状況バーで注意を引きつけながらシステムに常駐する。

マイクロソフトの分析によれば、CornFlakeは画面キャプチャやクリップボードの記録、Cookie（ログイン状態を保持するデータ）やパスワードの窃取、リモートシェルの起動などが可能だ。セキュリティ製品によって設定が消去されても自動復旧する機能も備えている。

さらに、認証管理システムのキャッシュからMicrosoft 365やAzure Active Directoryの認証トークンを盗み出すメモリ動作型ツール「ChocoShell（チョコシェル）」も確認されており、Cookieを介さない不正アクセスに悪用されている。

標的の拡大とマイクロソフトのアカウント認証機能の悪用

7月16日以降は、マイクロソフトの「デバイスコード認証フロー」にリダイレクトする手法も導入された。攻撃者指定のコードを正規のログインページに入力させることで、多要素認証（MFA）を突破したログイン権限を奪う仕組みだ。マイクロソフトは不要な環境での同フローの遮断を推奨している。

また、被害ホテルで共通の通信機器や管理システムが使われていたことから、Wi-Fiシステムを提供するプロバイダーの共有サービスが侵害された可能性が指摘されている。これにより、影響は個別施設にとどまらない恐れがあるが、具体的なホテル名やプロバイダー名は公表されていない。

補足：
専門家は、出張や旅行の際には常にすべての通信を暗号化する「フルタネルVPN」を使用し、接続画面等で促される証明書のインストールやソフトウェアの更新は一切拒否するよう推奨している。