Pesquisadores de segurança cibernética identificaram uma nova campanha de ataques que utiliza redes Wi-Fi públicas de hotéis e centros de convenções para roubar credenciais de usuários do Microsoft 365. A estratégia preocupa empresas porque mira principalmente profissionais que viajam a trabalho e dependem dessas conexões para acessar e-mails corporativos, arquivos e sistemas internos.
O alerta foi divulgado pela empresa de cibersegurança ReliaQuest, que identificou ataques ativos desde, pelo menos, junho de 2026. Segundo a investigação, os criminosos conseguem comprometer equipamentos responsáveis pela distribuição da internet nos estabelecimentos e redirecionar as vítimas para páginas falsas de login, capturando senhas e até tokens de autenticação.
A principal diferença em relação aos golpes tradicionais é que o ataque não depende de e-mails de phishing nem da instalação de programas maliciosos no computador da vítima.
Leia mais:
Inteligência artificial entra em fase decisiva, afirma CEO da OpenAI
Como funciona o novo golpe em redes Wi-Fi
O ataque começa pela invasão da infraestrutura de rede do hotel ou centro de convenções.
Os criminosos obtêm acesso administrativo aos equipamentos conhecidos como gateways, responsáveis por controlar o acesso dos hóspedes à internet.
Depois disso, utilizam uma técnica chamada envenenamento de DNS (DNS Poisoning).
Na prática, quando o usuário tenta acessar um serviço legítimo, como o portal do Microsoft 365, o sistema comprometido fornece um endereço falso e redireciona o navegador para uma página praticamente idêntica à original.
Sem perceber a fraude, a vítima informa suas credenciais, que passam imediatamente para o controle dos criminosos.
Ataque pode atingir todos os hóspedes conectados
Segundo os pesquisadores da ReliaQuest, o comprometimento de um único equipamento da rede permite que todos os dispositivos conectados sejam afetados.
Isso significa que dezenas ou até centenas de usuários podem ser redirecionados para páginas falsas no mesmo dia, sem qualquer alteração em seus notebooks ou celulares.
Como o ataque ocorre na própria infraestrutura da rede, o usuário normalmente acredita estar navegando em um ambiente confiável.
Criminosos conseguem contornar a autenticação em duas etapas
Um dos pontos mais preocupantes da campanha é a capacidade de contornar mecanismos de autenticação multifator (MFA), considerados uma das principais barreiras contra invasões.
Em parte dos casos analisados, os criminosos exploraram o fluxo de autenticação conhecido como Device Code Flow, utilizado pela Microsoft para autenticar dispositivos.
Nesse cenário, a vítima é induzida a aprovar uma solicitação aparentemente legítima.
Após essa confirmação, o sistema gera um token de acesso válido que acaba sendo entregue diretamente aos invasores.
Na prática, mesmo usuários que utilizam autenticação em duas etapas podem ter suas contas comprometidas caso aprovem uma solicitação fraudulenta.
Quem está sendo alvo da campanha?
A ReliaQuest identificou vítimas em diferentes países.
Os ataques ocorreram em redes localizadas nos:
- Estados Unidos;
- Índia;
- Arábia Saudita.
Entre os setores afetados estão:
- instituições financeiras;
- escritórios de advocacia;
- empresas de energia;
- organizações de saúde;
- varejo;
- empresas de serviços profissionais.
O perfil predominante das vítimas é formado por profissionais que realizam viagens corporativas e utilizam redes públicas para acessar sistemas internos das empresas.
Ataque lembra técnicas usadas por grupos de espionagem
Durante a investigação, os especialistas observaram semelhanças entre essa campanha e métodos atribuídos ao grupo russo APT28, também conhecido como Fancy Bear ou Forest Blizzard.
No entanto, a empresa destacou que não existem evidências técnicas suficientes para atribuir a autoria do ataque.
Segundo os pesquisadores, não foram encontrados elementos como reutilização de código, servidores compartilhados ou infraestrutura comum que permitam relacionar diretamente a operação ao grupo.
Como empresas podem reduzir os riscos
Especialistas recomendam que organizações reforcem suas políticas de segurança para colaboradores que trabalham remotamente ou viajam com frequência.
Entre as principais medidas estão:
- exigir o uso de VPN corporativa com túnel completo;
- utilizar servidores DNS confiáveis da empresa;
- monitorar acessos suspeitos às contas corporativas;
- revisar políticas de autenticação e gerenciamento de dispositivos.
Uma VPN configurada corretamente faz com que todo o tráfego de internet seja encaminhado por canais criptografados, reduzindo o risco de manipulação do DNS em redes públicas.
Cuidados para quem usa Wi-Fi de hotéis e aeroportos
Mesmo usuários comuns podem adotar algumas práticas para aumentar a segurança.
Verifique sempre o endereço do site
Gostou? Siga o Seu Crédito Digital no Google e receba notícias de benefícios, INSS e crédito em primeira mão.
+311 mil seguidores
Antes de inserir login e senha, confira cuidadosamente a URL exibida no navegador.
Golpistas costumam criar domínios muito semelhantes aos originais, alterando apenas pequenas letras ou caracteres.
Evite acessar sistemas sensíveis
Sempre que possível, deixe para acessar aplicativos bancários, sistemas corporativos ou serviços importantes utilizando redes móveis ou conexões de confiança.
Utilize VPN
Uma rede privada virtual (VPN) criptografa a comunicação entre o dispositivo e o servidor, dificultando interceptações.
Embora não elimine todos os riscos, ela representa uma camada adicional de proteção.
Desconfie de solicitações inesperadas
Se surgir uma solicitação de autenticação em duas etapas sem que você tenha iniciado o processo de login, não aprove o pedido.
Esse comportamento pode indicar uma tentativa de invasão.
Mantenha dispositivos atualizados
Atualizações de segurança corrigem vulnerabilidades exploradas por criminosos e ajudam a proteger notebooks e smartphones contra novas ameaças.
Empresas também devem revisar configurações do Windows
Além da VPN, a ReliaQuest recomenda que organizações desativem o recurso WPAD (Web Proxy Auto-Discovery Protocol) nos computadores Windows.
Essa função pode ser explorada em determinados cenários para facilitar ataques em redes comprometidas.
A recomendação também inclui treinamentos periódicos para conscientizar colaboradores sobre riscos em redes Wi-Fi públicas e reforçar a verificação de endereços antes do preenchimento de credenciais.
O aumento dos ataques em redes públicas
O crescimento do trabalho remoto e das viagens corporativas tornou redes de hotéis, aeroportos e centros de convenções alvos cada vez mais atrativos para cibercriminosos.
Em vez de atacar dispositivos individualmente, invasores buscam comprometer a infraestrutura da rede, ampliando significativamente o número de possíveis vítimas.
Esse tipo de estratégia exige atenção redobrada de empresas e usuários, especialmente quando informações corporativas sensíveis são acessadas fora do ambiente de trabalho.
