Geschäftsreisende, die sich im Hotelzimmer schnell ins WLAN einloggen, denken selten an Gefahr. Genau das nutzen Cyberkriminelle derzeit aus. Sicherheitsforscher haben eine Angriffswelle entdeckt, bei der Hacker die WLAN-Zugangspunkte von Hotels übernehmen und darüber gezielt Zugangsdaten von Firmenmitarbeitern abgreifen.

Das Perfide daran ist, dass die Opfer nicht einmal auf einen Phishing-Link klicken oder eine verseuchte Datei öffnen müssen, damit ihr Konto in fremde Hände gerät. Es reicht bereits, sich mit dem WLAN im Hotel zu verbinden.

Haben Angreifer jedoch die Kontrolle über den Router eines Hotels übernommen, können sie diese Antworten manipulieren und Nutzer unbemerkt auf gefälschte Seiten umleiten, die etwa wie die Anmeldemaske von Microsoft 365 aussehen.

Gibt das Opfer dort seine Zugangsdaten ein, landen sie direkt bei den Angreifern. Weil ein einzelner Router den gesamten Datenverkehr eines Hotels lenkt, reicht dessen Übernahme aus, um potenziell jeden Gast ins Visier zu nehmen, der sich an diesem Tag einloggt.

Gerade Geschäftsreisende sind ein attraktives Ziel, weil sie regelmäßig aus ungesicherten Netzwerken auf Firmendaten zugreifen und dabei oft weniger vorsichtig agieren als im gewohnten Büroumfeld.

Die aktuelle Welle setzt auf dieselbe Grundtechnik, verlagert den Angriffspunkt jedoch von einzelnen Heimroutern auf die zentralen WLAN-Gateways von Hotels und ähnlichen Einrichtungen und erreicht damit deutlich mehr potenzielle Opfer auf einen Schlag.

Diese Gruppe fiel in der Vergangenheit bereits durch vergleichbare Kampagnen auf, bei denen Router manipuliert wurden, um an Microsoft-Konten zu gelangen. Ob die aktuelle Kampagne tatsächlich von derselben Gruppe stammt oder lediglich deren Methoden übernimmt, lässt sich derzeit nicht mit letzter Sicherheit sagen, da eindeutige technische Beweise bislang fehlen.

Zusätzlich lohnt sich ein genauer Blick auf jede Anmeldeseite, bevor Zugangsdaten eingegeben werden. Die Webadresse in der Adresszeile sollte exakt der bekannten Adresse des jeweiligen Dienstes entsprechen, kleine Abweichungen im Namen sind ein Warnsignal. Besondere Vorsicht ist geboten, wenn plötzlich unerwartete Anmeldeaufforderungen erscheinen, ohne dass zuvor aktiv ein Login gestartet wurde, denn Angreifer nutzen mitunter auch Verfahren, bei denen ein einziger Klick auf Bestätigen bereits ausreicht, um einer fremden Sitzung Zugriff zu gewähren.

Wer zusätzlich auf Zwei-Faktor-Verfahren mit physischen Sicherheitsschlüsseln oder Passkeys statt auf klassische Passwörter setzt, entzieht Angreifern selbst dann die Grundlage, wenn Zugangsdaten einmal in falsche Hände geraten sind. So bleibt das Risiko überschaubar, auch wenn das nächste Hotelzimmer wieder mit kostenlosem WLAN lockt.