Ruská skupina napojená na zpravodajskou službu SVR stojí za rozsáhlou kampaní, která pomocí útoku na hotelovou Wi-Fi cílí na notebooky cestujících v hotelích a na konferencích. Microsoft kampaň nazvanou CaptiveCrunch popsal v technické analýze zveřejněné 31. července 2026.
Jak útok na hotelovou Wi-Fi funguje
Terčem nejsou jednotliví hosté hotelu, ale spíš firemní cestující. Skupina, kterou Microsoft sleduje pod označením Storm-2945, získala administrátorský přístup k síťovým branám (gateway), přes které hotely a konferenční centra provozují svůj captive portál, tedy tu úvodní přihlašovací stránku, která se objeví po připojení k Wi-Fi.
Stejná brána často funguje i jako DNS resolver pro připojená zařízení. Administrátorský přístup k ní umožňuje útočníkům podvrhnout DNS odpovědi a přesměrovat síťový provoz podle libosti. Notebooky a telefony pravidelně na pozadí kontrolují, jestli mají funkční připojení k internetu. Právě tuto kontrolu útočníci zneužili a přesměrovali ji na stránku s falešnou aktualizací prohlížeče nebo systému.
Podvodné stránky používají takzvanou ClickFix techniku. Místo automatického stažení a spuštění škodlivého souboru se od uživatele žádá, aby sám otevřel terminál nebo PowerShell a spustil zadaný příkaz, prý kvůli „ověření“ nebo „opravě“. Tenhle krok dělá útok o něco méně nápadný pro bezpečnostní software, protože nejde o klasické automatické stažení.
Od 16. července se navíc část podvodných stránek zaměřuje na jinou techniku: takzvaný device code phishing. Oběť je vyzvána, aby na legitimní přihlašovací stránce Microsoftu zadala kód, který jí útočníci předem vygenerovali. Pokud to udělá, přihlašovací relace útočníka se ověří stejně, jako by ji ověřila oběť sama, včetně dvoufaktorového ověření.
Jaký malware kampaň nasazuje
Hlavním nástrojem kampaně je CornFlake, plnohodnotný trojan pro vzdálený přístup napsaný v jazyce Go. Po spuštění se maskuje jako aktualizace systému nebo antiviru a v pozadí se nainstaluje jako služba s názvem „Cloud Sync Service“, která má budit dojem legitimního cloudového synchronizačního nástroje.
CornFlake umí zaznamenávat stisky kláves, sledovat schránku, pořizovat snímky obrazovky, nahrávat zvuk a video přes mikrofon a kameru, krást hesla a přihlašovací soubory (cookies) z prohlížečů včetně nově šifrovaných verzí Chrome, sledovat vložená USB média a spouštět příkazy na dálku.
Doplňkovým nástrojem je ChocoShell, skript v PowerShellu spouštěný přímo v paměti počítače, takže po sobě nezanechává soubor na disku. Jeho úkolem je hromadně krást přihlašovací tokeny Microsoft 365 a Azure Active Directory, které umožňují útočníkovi přihlásit se do cloudových služeb oběti bez nutnosti znát heslo. Skript navíc obchází kontrolu uživatelských účtů (UAC) hned třemi různými technikami, aby si vynutil administrátorská práva potřebná k rozšifrování hesel v prohlížeči.
Proč je kybernetická bezpečnost na cestách důležitá i pro menší firmy
Kampaň sice cílí primárně na cestující zaměstnance velkých organizací, ale princip útoku funguje stejně dobře proti komukoliv, kdo se připojí k nedůvěryhodné veřejné síti. Malá a střední firma s pár zaměstnanci na služebních cestách je stejně zranitelná jako nadnárodní korporace, protože slabinou není firemní infrastruktura, ale samotná hotelová síť.
Veřejná Wi-Fi bezpečnost: jak se chránit
Několik praktických kroků dokáže riziko útoku na hotelovou Wi-Fi výrazně snížit:
- Na cestách používat raději mobilní data, eSIM nebo osobní hotspot než veřejnou Wi-Fi.
- Nikdy nestahovat ani nespouštět aktualizace, certifikáty nebo „diagnostické nástroje“ nabízené přes přihlašovací stránku hotelové sítě.
- Aktualizace systému a prohlížeče ověřovat vždy přes vestavěné systémové nástroje, nikdy přes vyskakovací okno na webu.
- Nezadávat přihlašovací kódy (device code) do systémů, pokud k tomu nedošlo z vlastní iniciativy.
- Zapnout vícefaktorové ověření a tam, kde to jde, omezit nebo úplně zablokovat takzvaný device code flow v nastavení organizace.
- U firemních zařízení zvážit VPN, které je aktivní po celou dobu připojení a přesměruje DNS dotazy mimo dosah nedůvěryhodné sítě dřív, než se k nim dostane hotelová brána.
Kampaň podle Microsoftu běží minimálně od května 2026 a stále je aktivní. Firmy, jejichž zaměstnanci často cestují a připojují se k veřejným sítím, by měly brát varování vážně a zapracovat výše uvedená doporučení do interních zásad používání zařízení na cestách.
