Uma campanha de envenenamento de DNS descoberta por investigadores está a transformar o Wi-Fi de hotéis e centros de conferências numa arma para roubar contas Microsoft 365 de trabalhadores em deslocação — sem enviar um único e-mail de phishing nem tocar no dispositivo da vítima. A ReliaQuest identificou uma campanha alargada em que atacantes expandiram técnicas de recolha de credenciais por envenenamento de DNS — antes observadas em routers SOHO e atribuídas ao “APT28” — para os equipamentos de portal cativo de hotéis e centros de conferências, com o objetivo de comprometer silenciosamente as contas Microsoft 365 de funcionários empresariais.
Resposta rápida: Atacantes estão a comprometer gateways de Wi-Fi público em hotéis e centros de conferências e a manipular respostas de DNS para desviar quem se liga para páginas falsas de início de sessão da Microsoft. O ataque não exige clicar em links nem instalar malware. A defesa mais eficaz para organizações é impor VPN sempre ativa em túnel completo nos dispositivos corporativos; para viajantes, verifique sempre o URL e o certificado antes de introduzir credenciais em redes públicas.
Como funciona o ataque
O ponto de partida é uma quebra de confiança que a maioria dos viajantes nem sequer considera. Os adversários têm comprometido gateways de Wi-Fi público em hotéis, centros de conferências e outros espaços partilhados para sequestrar as contas de trabalhadores em viagem, redirecionando silenciosamente os utilizadores para infraestrutura sob o seu controlo a fim de roubar credenciais — atividade que decorre pelo menos desde junho de 2026.
Segundo a investigação, o acesso inicial aos equipamentos não depende de técnicas exóticas. Num artigo publicado a 23 de julho, a ReliaQuest indicou acreditar que o acesso inicial aos dispositivos foi obtido através da exploração de interfaces de gestão expostas, como SSH, SNMP e consolas de administração web, bem como de credenciais de administrador fracas ou reutilizadas. A partir daí, o comprometimento propaga-se a todos os hóspedes ligados. Com este acesso, o atacante modifica as configurações dos routers comprometidos e usa envenenamento de DNS para redirecionar o tráfego web, canalizando as ligações a domínios legítimos através de infraestrutura por si controlada, o que significa que um utilizador pode ser comprometido sem necessidade de link de phishing, anexo malicioso ou de o atacante tocar no dispositivo.
Para a vítima, tudo parece normal. Não há link de phishing para clicar nem anexo malicioso; o utilizador simplesmente abre um navegador e vê uma página de início de sessão da Microsoft convincente o suficiente para confiar. É precisamente esta invisibilidade que torna a técnica tão perigosa e difícil de detetar.
Domínios falsos e abuso do fluxo de código de dispositivo
Os investigadores conseguiram mapear parte da infraestrutura usada na campanha. A ReliaQuest observou domínios registados pelos atacantes, como m365-owa.com, owa-ms365.com, ms365-device.com e ms365-live.com, servidos a partir dos endereços IP 31.57.243.154 e 104.194.159.150. Estes domínios fazem-se passar por serviços da Microsoft e são usados para capturar credenciais ou para abusar do fluxo de código de dispositivo (device code) da Microsoft, dando aos atacantes tokens OAuth e acesso ao Microsoft 365 com o MFA já satisfeito, sem sequer roubarem diretamente as palavras-passe.
Este abuso do fluxo de autenticação foi confirmado em observação direta. Num número limitado de casos, o atacante combinou o redirecionamento por envenenamento de DNS com o abuso do fluxo de autenticação por código de dispositivo da Microsoft, criando um caminho para o comprometimento da conta Microsoft 365 que não exigia intercetar credenciais nem decifrar o tráfego de autenticação — no domínio ms365-live[.]com, a ReliaQuest observou este fluxo diretamente.
A par disto, há uma segunda técnica em jogo. Além dos controlos de rede, a ReliaQuest recomenda desativar o WPAD onde não é necessário e restringir a obtenção de ficheiros de configuração automática de proxy a hosts internos aprovados, caso a descoberta automática de proxy tenha de permanecer ativa. Se o WPAD tiver êxito, o Windows obtém um ficheiro malicioso de configuração automática de proxy (PAC) que encaminha a maioria do tráfego das aplicações através do proxy do atacante — Chrome, componentes centrais de autenticação e a maioria das aplicações empresariais que dependem da rede do Windows. O perigo agrava-se pela discrição desta abordagem: o proxying baseado em WPAD é fácil de passar despercebido porque os registos gerados por esse tráfego podem parecer ligações de rede rotineiras sobre HTTPS.
Onde e quem está a ser afetado
A campanha tem alcance internacional e visa vítimas de elevado valor. A atividade foi observada em várias cidades dos Estados Unidos, na Índia e na Arábia Saudita, afetando hóspedes de setores como finanças, jurídico, saúde, energia e retalho. Os gateways de Wi-Fi comprometidos foram identificados em várias cidades norte-americanas e internacionalmente na Índia e na Arábia Saudita, sobretudo em organizações do setor hoteleiro e de hospitalidade, com a atividade a decorrer pelo menos desde junho de 2026.
Ligação ao APT28 e à campanha FrostArmada
Embora a atribuição não seja definitiva, a semelhança de técnicas é notória. A ReliaQuest avalia que este modus operandi é semelhante ao do “APT28” (também conhecido como “Fancy Bear” e “Forest Blizzard”), um grupo de inteligência militar russa anteriormente ligado a campanhas semelhantes baseadas em routers que comprometiam contas Microsoft 365. Esta campanha não é atualmente avaliada como sendo a própria FrostArmada, mas partilha técnicas, táticas e procedimentos suficientes para sugerir, no mínimo, a reutilização de modus operandi.
A FrostArmada é uma referência recente e relevante. Uma operação internacional de autoridades policiais, em parceria com empresas privadas, desmantelou a FrostArmada, uma campanha do APT28 que sequestrava tráfego local de routers MikroTik e TP-Link para roubar credenciais de contas Microsoft. O FBI desmantelou essa rede de sequestro de DNS da GRU russa, conhecida como FrostArmada, que comprometeu 18 000 routers em 120 países. A nova campanha em hotéis inova em relação à anterior: esta atividade também não tinha sido documentada em relatórios anteriores associados à FrostArmada.
| Data | Acontecimento |
|---|---|
| Abril de 2026 | Desmantelamento da FrostArmada (APT28), que usava sequestro de DNS ao nível do gateway em routers SOHO |
| Junho de 2026 | Início da atividade da campanha atual contra Wi-Fi de hotelaria |
| 23 de julho de 2026 | Publicação do relatório da ReliaQuest |
Indicadores de comprometimento (IOCs)
| Tipo | Indicador |
|---|---|
| Domínio | m365-owa[.]com |
| Domínio | owa-ms365[.]com |
| Domínio | ms365-device[.]com |
| Domínio | ms365-live[.]com |
| Endereço IP | 31.57.243.154 |
| Endereço IP | 104.194.159.150 |
Como proteger-se e mitigar
A recomendação central dos investigadores é clara. As organizações podem fechar a principal exposição com um só controlo: impor VPN sempre ativa em túnel completo (full-tunnel) nos dispositivos corporativos, o que encaminha todo o tráfego — incluindo o DNS — através da rede corporativa antes de este chegar ao gateway do hotel, travando efetivamente o ataque. As restantes medidas recomendadas incluem:
- Auditar os registos de autenticação de proxy à procura de autenticações a partir de hosts desconhecidos, verificando registos suspeitos de infraestrutura sabidamente abusada.
- Desativar a descoberta automática de proxy web (WPAD) onde não seja necessária.
- Formar os colaboradores para validarem o URL e o certificado de qualquer página que peça credenciais antes de as introduzirem, sobretudo em Wi-Fi de hotéis, conferências, aeroportos ou outras redes públicas.
- Bloquear o fluxo de autenticação por código de dispositivo no fornecedor de identidade, através de políticas de Acesso Condicional no Microsoft Entra ID, uma vez que este fluxo tem poucos usos legítimos para a maioria dos utilizadores.
Porque é que isto importa em Portugal
Esta campanha reforça uma lição que interessa diretamente a cidadãos, PME e organizações portuguesas: a identidade tornou-se o novo perímetro e o acesso ao Microsoft 365 é uma das chaves mais valiosas para um atacante. O arquivo de e-mail completo, documentos do SharePoint, conversas do Teams e ficheiros do OneDrive de uma organização tornam-se acessíveis com um único conjunto de credenciais comprometidas. Para profissionais em deslocação, congressos e feiras — cenários frequentes no tecido empresarial nacional — o risco de usar Wi-Fi de hotel sem proteção adequada deixa de ser teórico.
No plano regulatório, o novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2) alarga as obrigações de gestão de risco e de notificação de incidentes a mais entidades essenciais e importantes em Portugal, incluindo setores como saúde, energia e serviços digitais — precisamente alguns dos visados por esta campanha. Medidas como a imposição de VPN, o reforço de autenticação e a monitorização de acessos anómalos encaixam nas boas práticas que o CNCS e o CERT.PT vêm promovendo. Do ponto de vista do RGPD, o comprometimento de contas com dados pessoais pode configurar uma violação de dados sujeita a notificação à CNPD e aos titulares afetados. Confirmar a legitimidade de páginas de início de sessão e evitar introduzir credenciais em redes não confiáveis são medidas simples com impacto desproporcional na redução do risco.
Perguntas frequentes
Como é que o ataque de Wi-Fi de hotel rouba contas Microsoft 365 sem phishing?
Os atacantes comprometem o gateway de Wi-Fi público (portal cativo) e manipulam as respostas de DNS de quem se liga, redirecionando-os para páginas falsas de login da Microsoft ou abusando do fluxo de autenticação por código de dispositivo — sem exigir clique num link nem instalação de malware.
Ativar a autenticação multifator (MFA) é suficiente para me proteger?
Não sozinho. Nalguns casos observados, os atacantes abusam do fluxo de código de dispositivo da Microsoft para obter tokens OAuth já com o MFA satisfeito, contornando esta proteção sem interceptar diretamente credenciais.
Qual é a defesa mais eficaz contra este ataque?
Impor VPN sempre ativa em túnel completo (full-tunnel) nos dispositivos corporativos, encaminhando todo o tráfego — incluindo o DNS — pela rede corporativa antes de chegar ao gateway do hotel, o que trava eficazmente o ataque.
Que obrigações legais em Portugal se aplicam a este tipo de incidente?
O comprometimento de contas com dados pessoais pode constituir uma violação nos termos do RGPD, com dever de notificação à CNPD. O Regime Jurídico da Cibersegurança, que transpõe a NIS2, alarga ainda as obrigações de gestão de risco a cenários de comprometimento de identidade fora das instalações da organização.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela ReliaQuest e por relatos de imprensa especializada, complementados com contexto sobre a campanha FrostArmada divulgado por autoridades e investigadores de segurança.