L’obiettivo è rubare credenziali Microsoft 365 e aprire la strada a furti di dati e malware. Secondo le analisi citate da 01Net, il gruppo avrebbe legami con ambienti dell’intelligence russa. Le società di sicurezza, però, restano caute: attribuzione tecnica, non giudiziaria.
Il punto d’ingresso di CaptiveCrunch non è una mail sospetta, né un allegato aperto per sbaglio. È il router Wi-Fi dell’hotel, della sala conferenze o dell’aeroporto. Gli aggressori entrano approfittando di password di amministrazione deboli, magari ancora quelle impostate dal produttore. Una volta preso il controllo della rete, cambiano i parametri DNS, cioè il sistema che indirizza il traffico Internet verso i siti richiesti.
Da lì la trappola scatta. Quando l’utente prova ad aprire la propria casella Microsoft 365, viene portato su una pagina che imita i servizi Microsoft: loghi, campi di accesso, messaggi familiari. «L’utente non deve cliccare su un link strano: pensa di essere già nel percorso normale», spiegano gli analisti di sicurezza. Ed è proprio questo il punto più insidioso: la vittima inserisce le credenziali senza accorgersi che qualcosa è cambiato.
Perché aeroporti, hotel e centri congressi sono finiti nel mirino
Gli attacchi puntano ai viaggiatori professionali perché viaggiano con account aziendali, documenti riservati, accessi a piattaforme cloud e, spesso, poco tempo per controllare ogni dettaglio. Al gate alle 7 del mattino, nella hall di un hotel prima di una riunione o al banco accrediti di un congresso, collegarsi al Wi-Fi gratuito sembra una cosa normale. In quel momento, però, quella rete può diventare una porta spalancata.
Secondo Microsoft e ReliaQuest, i casi osservati da maggio 2026 riguardano reti pubbliche in diversi Paesi, tra cui India, Arabia Saudita e Stati Uniti. Per ora non ci sono numeri ufficiali sulle vittime o sulle aziende coinvolte. La scelta dei luoghi, però, segue una logica evidente: dove passano manager, consulenti, tecnici e commerciali, passano anche credenziali preziose. E spesso passano su dispositivi usati in viaggio, meno controllati rispetto ai computer in ufficio.
Il nodo della doppia autenticazione: il trucco del “codice dispositivo” che aggira le difese
La parte più delicata di CaptiveCrunch riguarda il modo in cui gli aggressori riescono a superare la doppia autenticazione, ormai considerata da molte aziende una protezione di base. I ricercatori hanno osservato l’uso scorretto del flusso “codice dispositivo”, previsto nell’ecosistema Microsoft per apparecchi come smart tv, stampanti o dispositivi senza tastiera completa. Di norma, l’utente inserisce un codice su una pagina legittima per autorizzare l’accesso.
Nel caso descritto dagli analisti, invece, il falso portale spinge la vittima a convalidare un codice che sembra credibile, ma che permette ai pirati di entrare nell’account. Una volta dentro, possono leggere mail, cercare allegati, muoversi tra servizi collegati e, in alcuni casi, preparare nuovi attacchi contro colleghi o partner. Non solo. Le indagini hanno individuato anche finte notifiche di aggiornamento Windows, usate per far scaricare malware. Durante l’estate, riferiscono i ricercatori, sono stati coinvolti anche dispositivi Android: un segnale che la campagna non riguarda più soltanto i computer Windows.
Gli esperti invitano chi viaggia per lavoro a considerare i Wi-Fi pubblici reti non affidabili, anche quando il nome sembra giusto e il portale di accesso appare ben fatto. La scelta più sicura, quando possibile, resta l’hotspot personale del telefono, soprattutto per entrare nella posta aziendale o nei servizi cloud. Se si usa una rete pubblica, una VPN aziendale può ridurre il rischio, a patto che sia impostata correttamente e attivata prima di accedere agli account.
Per le imprese, la difesa passa anche dai controlli sugli accessi: blocco o limitazione del flusso “device code” quando non serve, verifica degli accessi da Paesi insoliti, regole di conditional access e avvisi rapidi agli utenti. Serve poi una formazione concreta, non fatta di slogan: riconoscere una pagina sospetta, evitare aggiornamenti proposti dai portali Wi-Fi, segnalare subito richieste anomale. Perché CaptiveCrunch, più che sfondare la porta principale, sfrutta un’abitudine quotidiana: una connessione gratuita, pochi secondi di distrazione, e l’account aziendale può finire nelle mani sbagliate.
