L’obiettivo è chiaro: rubare credenziali Microsoft 365 attraverso finte pagine di accesso, costruite per sembrare autentiche.
Secondo la ricostruzione di ReliaQuest, società statunitense di sicurezza informatica, gli attaccanti sono riusciti a compromettere alcune reti Wi-Fi usate in hotel e strutture per eventi aziendali. I casi finora individuati riguardano diverse città degli Stati Uniti, con episodi segnalati anche in India e Arabia Saudita. I ricercatori non escludono che la stessa tecnica sia stata usata anche in altri Paesi.
La campagna risulta attiva da giugno 2026 e sembra interessare organizzazioni di settori diversi: finanza, sanità, energia, servizi professionali e commercio al dettaglio. Il bersaglio, spesso, non è il turista che controlla la posta dalla stanza. È il dipendente in trasferta, il manager a una conferenza, il consulente che apre il portatile nella hall e accede alla casella aziendale. Un gesto normale. Quasi automatico. Ed è proprio lì che l’attacco trova spazio.
ReliaQuest precisa di non aver ancora stabilito con certezza come i criminali siano entrati nei dispositivi di rete. Tra le ipotesi ci sono interfacce di amministrazione esposte su Internet, servizi poco protetti come SSH o SNMP, pannelli web con credenziali deboli e vulnerabilità non corrette. Una volta ottenuto l’accesso, gli aggressori possono mettere mano alla configurazione della rete.
DNS compromessi: così gli utenti finiscono su falsi login Microsoft 365
Il cuore dell’attacco è la modifica dei DNS, il sistema che traduce un indirizzo web leggibile — come quello di Outlook o dei servizi Microsoft — nell’indirizzo numerico del server giusto. Di solito l’utente apre un link o digita un sito e arriva alla pagina autentica. Ma se i DNS della rete Wi-Fi sono stati alterati, il percorso cambia. E sullo schermo, almeno all’inizio, può non comparire nulla di strano.
Chi si collega alla rete dell’hotel può così essere portato su una pagina di login che imita Microsoft 365. La grafica è familiare, il logo è al suo posto, il modulo chiede email e password. Solo che dietro non c’è Microsoft. C’è un sistema controllato dai criminali. Il risultato è semplice e pericoloso: l’utente pensa di entrare nella posta, ma in quel momento sta consegnando le proprie credenziali.
I ricercatori hanno individuato almeno quattro domini usati nella campagna: m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com e ms365-live[.]com. Nomi pensati per sembrare credibili, soprattutto a chi va di fretta, magari tra il check-in e una riunione fissata alle 9. La trappola, sottolinea ReliaQuest, non passa da una rete finta creata dagli hacker nei pressi dell’hotel: riguarda reti reali compromesse dall’interno.
Credenziali, documenti e comunicazioni: i rischi per aziende e viaggiatori
Il furto di un account Microsoft 365 può aprire molto più della semplice casella di posta. In un’azienda, quelle credenziali possono dare accesso a email riservate, documenti condivisi, calendari, chat interne, archivi cloud e strumenti di lavoro. Per un attaccante significa poter leggere conversazioni, intercettare fatture, inviare messaggi a nome della vittima o preparare nuove frodi.
Il rischio aumenta quando la rete colpita è quella di un centro conferenze o di un hotel frequentato da manager, consulenti e tecnici in viaggio. In posti del genere il Wi-Fi viene usato di continuo: per entrare nei servizi aziendali, scaricare presentazioni, rispondere a messaggi urgenti. “Il contesto rende l’attacco più credibile”, osservano gli analisti di ReliaQuest nella loro ricostruzione. L’utente si aspetta una schermata di accesso. E proprio per questo abbassa la guardia.
Non è ancora chiaro quante credenziali siano state davvero sottratte. Per ora i dati disponibili riguardano le reti compromesse individuate e i domini malevoli collegati alla campagna. Il metodo, però, è considerato insidioso perché usa un’infrastruttura che appare affidabile: il Wi-Fi dell’hotel, quello indicato alla reception o stampato sul cartoncino consegnato insieme alla chiave della stanza.
VPN, URL e accessi sensibili: cosa fare quando si viaggia
La prima difesa, spiegano gli esperti, è usare una VPN quando ci si collega a reti pubbliche o semi-pubbliche: hotel, aeroporti, bar, centri congressi. La VPN cifra il traffico e lo fa passare attraverso un canale protetto, riducendo l’esposizione ad attacchi Man-in-the-Middle e a manipolazioni dei DNS. Non risolve tutto, ma rende l’attacco più difficile.
Bisogna poi controllare con attenzione l’URL prima di inserire password o codici di autenticazione. Piccole differenze — un trattino in più, una sigla invertita, una lettera sostituita da un numero — possono segnalare una pagina falsa. Meglio digitare a mano l’indirizzo del servizio o usare preferiti già salvati, invece di fidarsi dei reindirizzamenti comparsi dopo la connessione alla rete.
Quando possibile, è meglio evitare l’accesso ad account bancari, pannelli aziendali e servizi con dati riservati mentre si è collegati a un Wi-Fi condiviso. Se l’accesso è necessario, conviene usare la connessione mobile, l’autenticazione a più fattori e le notifiche di sicurezza. Una regola semplice, ma spesso decisiva: in viaggio, la rete più comoda non è sempre quella più sicura.
