Conectarse al wifi del hotel se ha convertido en un gesto automático: abres el portátil, aparece la pantalla de bienvenida del establecimiento, aceptas las condiciones y ya estás dentro. Microsoft acaba de poner nombre y apellidos a quien lleva desde mayo aprovechando exactamente ese gesto. Su equipo de inteligencia de amenazas atribuye a Storm-2945, un subgrupo de Midnight Blizzard —el actor vinculado al Servicio de Inteligencia Exterior ruso (SVR), también conocido como APT29 o Cozy Bear—, una campaña global bautizada como CaptiveCrunch que secuestra los portales cautivos de hoteles y centros de congresos para robar credenciales corporativas.
Qué es un portal cautivo y por qué es un objetivo perfecto
El portal cautivo es esa página intermedia que intercepta tu navegación hasta que aceptas las condiciones del wifi público. Para funcionar necesita manipular legítimamente tu tráfico DNS, es decir, decidir a qué servidor te lleva cada dirección que escribes. Ese poder es justo lo que los atacantes han querido heredar.
El método, descrito por la firma de seguridad ReliaQuest el pasado 23 de julio, consiste en comprometer los equipos de puerta de enlace del wifi —routers de tipo SOHO, los mismos que muchas pymes tienen en el armario— y modificar su configuración DNS para redirigir a los usuarios a infraestructura controlada por los atacantes. A partir de ahí entra en juego la técnica del adversario en el medio (AitM): el visitante cree estar hablando con Microsoft, pero hay alguien escuchando y quedándose con todo por el camino.
ReliaQuest documentó equipos comprometidos en hoteles y centros de conferencias de Estados Unidos, India y Arabia Saudí, además de cuatro dominios registrados por los atacantes para suplantar servicios de Microsoft. El tráfico observado procedía de organizaciones de servicios financieros, servicios profesionales, despachos jurídicos, sanidad, energía y comercio minorista. No es un ataque sectorial: es un ataque a quien viaja, sea del sector que sea.
Falsas actualizaciones del navegador, RAT en Go y un panel llamado FruitStone
Una vez redirigido el tráfico, la campaña despliega dos vías. La primera es el malware: troyanos de acceso remoto escritos en Go que se presentan como actualizaciones del navegador, el señuelo más viejo y más eficaz del manual. Microsoft identifica el implante CornFlake —RAT y ladrón de información— y ChocoShell, un infostealer basado en PowerShell, gestionados desde un panel de mando y control web llamado FruitStone.
Las capacidades no son menores: reconocimiento del equipo, robo de credenciales y de tokens de sesión, recolección de archivos y pulsaciones de teclado, vigilancia por audio y vídeo, y acceso a una consola remota. Los atacantes también han empleado variantes de la técnica ClickFix —esa que te pide copiar y pegar un comando «para arreglar» un supuesto error— y han tanteado a usuarios de Android invitándoles a instalar un archivo APK.
El truco del código de dispositivo: cuando el phishing usa la página real
La parte más incómoda es la que Microsoft ha visto en las últimas dos semanas. Algunas páginas de aterrizaje ya no piden la contraseña: dirigen a la víctima al flujo de autenticación por código de dispositivo de Microsoft Entra ID y le indican que introduzca un código en la página de inicio de sesión auténtica de Microsoft. El usuario teclea sus datos en un dominio legítimo, con su certificado correcto y su candado verde, y lo que está haciendo en realidad es autorizar la sesión del atacante.
Microsoft matiza que la técnica no es nueva —la vienen observando en Midnight Blizzard desde agosto de 2024—, pero advierte de que integrarla en un portal cautivo aumenta mucho la probabilidad de que la petición se perciba como legítima. Ahí está el salto de calidad: no hay web falsa que detectar.
Del GRU al SVR: una atribución que ha cambiado
Conviene precisar un punto que en los primeros titulares quedó borroso. ReliaQuest señaló parecidos con FrostArmada, la operación atribuida a APT28 (Forest Blizzard, Fancy Bear) y ligada a la inteligencia militar rusa (GRU), pero no llegó a atribuir la campaña: ni la infraestructura ni los dominios encajaban con los de APT28, y el ataque a portales cautivos no estaba documentado antes. La firma observó además que el envenenamiento de DNS redirigía a todos los usuarios de forma indiscriminada, señal de un actor «menos sofisticado o menos cuidadoso». Ha sido Microsoft quien ha cerrado el círculo apuntando a Storm-2945 y, por tanto, a la órbita del SVR y no del GRU. La compañía añade un detalle revelador: el grupo ha apoyado «una parte significativa» de estas operaciones en herramientas de inteligencia artificial.
Qué puedes hacer tú la próxima vez que viajes
La recomendación práctica es aburrida y funciona. No instales ninguna actualización que te ofrezca una red wifi pública: los navegadores no se actualizan así, jamás. Desconfía de cualquier pantalla que te pida copiar un comando o introducir un código numérico en una página de Microsoft que no has abierto tú. Usa una VPN corporativa desde el primer segundo, o comparte datos desde el móvil, que sale más barato que un incidente. Y en el lado de las empresas: revisar el flujo de código de dispositivo en Entra ID —restringirlo o desactivarlo si no se usa— es probablemente la medida con mejor relación entre esfuerzo y riesgo evitado de toda esta historia.
