Se você viaja a trabalho e costuma se conectar ao Wi-Fi do hotel sem pensar duas vezes, essa notícia merece a sua atenção. Uma campanha de roubo de credenciais, com fortes indícios de patrocínio estatal, vem atacando gateways de Wi-Fi em hotéis, centros de convenções e outros ambientes compartilhados, justamente para sequestrar as contas de profissionais em viagem corporativa.
A lógica do golpe é tão simples quanto preocupante: assim que os criminosos assumem o controle do gateway da rede, eles passam a redirecionar os usuários silenciosamente para uma infraestrutura sob seu comando, com o objetivo de roubar credenciais. As informações constam em um relatório da ReliaQuest, empresa global de operações de segurança e automação de resposta a ameaças, que identificou essa atividade acontecendo desde pelo menos junho de 2026.
Vamos entender como esse ataque funciona, por que ele é tão difícil de perceber e, principalmente, o que dá para fazer para se proteger.
Como os criminosos chegam até o gateway
Os equipamentos comprometidos investigados pela ReliaQuest eram, em sua maioria, appliances usados por hotéis e outras organizações que oferecem serviços de Wi-Fi com portal de acesso — aquele em que você precisa aceitar termos ou digitar um código antes de navegar.
Os pesquisadores avaliam, com um grau de confiança de baixo a médio, que os atacantes provavelmente conseguiram o acesso inicial por meio de interfaces de gerenciamento expostas na internet, combinadas com senhas administrativas fracas ou reutilizadas. Vale a ressalva de que a visibilidade limitada sobre os dispositivos comprometidos impediu a equipe de confirmar essa hipótese com certeza.
Ainda assim, essa metodologia seria coerente com os padrões de ataque a gateways e de envenenamento de DNS documentados em uma campanha recente ligada ao grupo APT28, conhecida como “FrostArmada”. Nela, um grupo de ciberespionagem associado à Rússia — também chamado de Forest Blizzard ou Fancy Bear — sequestrou as configurações de DNS de roteadores comprometidos para redirecionar o tráfego de autenticação e roubar credenciais e tokens da Microsoft. Aquela operação foi desarticulada em abril de 2026, em uma ação conjunta entre forças de segurança e parceiros do setor privado.
Depois de comprometer os equipamentos, os invasores alteram as configurações e usam o envenenamento de DNS para redirecionar o tráfego comum da web, canalizando conexões de domínios legítimos por meio da infraestrutura que controlam.
Por que hotéis e eventos são alvos tão atraentes
Não é coincidência que os criminosos tenham escolhido esse tipo de ambiente. Como observa James Edwards, diretor sênior de engenharia da Keeper Security, hotéis e centros de conferências não são alvos aleatórios. São exatamente os lugares onde executivos, equipes jurídicas, profissionais de finanças e outros funcionários de alto valor se conectam a redes compartilhadas rotineiramente, sem nenhuma desconfiança.
Segundo Edwards, um único gateway comprometido em um grande evento do setor pode dar ao atacante acesso a centenas ou até milhares de dispositivos corporativos, vindos das mais diversas organizações. Do ponto de vista de quem ataca, a relação entre esforço e retorno é extraordinária.
E é justamente aí que mora o maior perigo: a campanha opera inteiramente abaixo do radar do usuário. Quando o invasor domina o gateway, ele não precisa tocar em nenhum dispositivo, enviar nenhum e-mail de phishing nem instalar qualquer malware. O envenenamento de DNS redireciona o tráfego em silêncio, a pessoa navega normalmente, digita suas credenciais normalmente e não tem o menor motivo para desconfiar de que algo está errado.
O truque que passa por cima da autenticação em dois fatores
Um dos aspectos mais alarmantes dessa campanha envolve o abuso da autenticação por código de dispositivo. Denis Calderone, diretor de tecnologia da Suzu Labs, explica que o usuário é redirecionado para o que parece ser uma tela de autorização legítima da Microsoft.
O problema é o que acontece em seguida. Se a pessoa aprova aquela solicitação, ela está na verdade autorizando uma sessão iniciada pelo atacante. A Microsoft emite um token OAuth válido para o cliente do invasor — e esse token já vem com a autenticação multifator satisfeita. Nenhuma credencial foi tecnicamente roubada, nenhum token foi interceptado, e ainda assim a proteção de dois fatores é completamente contornada.
Calderone aponta que a autenticação por código de dispositivo foi criada para aparelhos com entrada limitada, como smart TVs e telas de sala de reunião. O detalhe é que ela vem ativada por padrão no serviço Entra ID da Microsoft, e muitas empresas nunca a desligaram simplesmente porque nem sabem que ela existe. A recomendação dele é desabilitar esse recurso por meio de políticas de Acesso Condicional para todos os usuários, mantendo a exceção apenas para as poucas contas de serviço ou grupos de dispositivos que realmente precisam dele.
Um ataque previsto há anos que finalmente virou realidade
Curiosamente, o que mais chama a atenção dos especialistas não é a técnica em si, mas o momento em que ela apareceu em escala. Larry Pesce, vice-presidente de serviços da Finite State, lembra que pesquisadores de segurança vêm demonstrando e alertando sobre exatamente esse tipo de ataque há quase uma década.
Para ele, a novidade não está no método, e sim no fato de finalmente existirem evidências em larga escala, no mundo real, de que grupos criminosos estão colocando isso em prática. A distância entre “sabemos que é possível” e “podemos provar que está acontecendo” acaba de desaparecer — e isso deveria preocupar qualquer pessoa que viaja a trabalho.
Ninguém é “irrelevante demais” para ser alvo
Pesce destaca outra mudança importante de comportamento. Historicamente, grupos como o APT28 agiam de forma cirúrgica, redirecionando apenas o tráfego que correspondia a palavras-chave ou alvos específicos. O que os pesquisadores descrevem agora é o oposto: um redirecionamento não seletivo, que capturou qualquer pessoa que se conectasse à rede.
A lição, segundo ele, é que ninguém deveria pensar “não sou importante o bastante para ser um alvo”. Em uma rede compartilhada e comprometida, a importância de cada vítima é decidida depois. Primeiro a credencial é entregue, e só mais tarde alguém decide como monetizá-la ou transformá-la em arma. Por isso, os cuidados básicos de segurança importam para todo mundo, e não apenas para executivos e cargos de risco evidente. Quem se acha irrelevante costuma ser justamente a porta de entrada mais fácil.
Falhas básicas de segurança abriram as portas
Vale notar que o sucesso da campanha dependeu menos de técnicas sofisticadas e mais de práticas frágeis de segurança nos equipamentos atacados. Seemant Sehgal, CEO e fundador da BreachLock, resume o problema: os gateways estavam acessíveis com credenciais que podiam ser comprometidas, e o monitoramento existente não estava atento a mudanças de configuração.
Edwards, da Keeper Security, reconhece que ataques baseados em DNS não são exatamente novidade, mas explica que eles antes exigiam acesso à infraestrutura upstream ou o comprometimento de dispositivos individuais. O que mudou foi o modelo de escolha dos alvos. Atacar gateways de rede compartilhados em locais de grande circulação transforma um único ponto comprometido em um multiplicador de força, em que um só roteador entrega acesso a centenas de dispositivos corporativos de dezenas de organizações ao mesmo tempo.
O verdadeiro alvo é a confiança
Talvez a reflexão mais valiosa dessa história vá além de qualquer técnica específica. Para Edwards, essa campanha escancara o quanto os atacantes aprenderam a transformar a confiança em arma.
A rede do hotel é confiável porque foi o hotel que a forneceu. A tela de login da Microsoft é confiável porque parece exatamente com a verdadeira. A autorização OAuth é confiável porque, tecnicamente, ela é legítima. O problema é que nenhuma dessas suposições se sustenta quando a própria infraestrutura foi comprometida.
A lição real, portanto, não é a de que surgiu uma nova técnica de ataque, e sim a de que aquele perímetro seguro que as empresas achavam habitar deixa de existir no instante em que um funcionário se conecta a uma rede que ela não controla. As organizações que atravessam esse tipo de campanha ilesas são justamente aquelas que já pararam de estender confiança implícita a infraestruturas que não lhes pertencem. Não é um princípio novo — é apenas um que o setor de hotelaria, e as empresas cujos funcionários circulam por ele, não podem mais adiar.
Como se proteger nas redes de hotéis e eventos
A boa notícia é que existe uma medida bastante eficaz. Segundo a ReliaQuest, as organizações podem reduzir significativamente sua exposição exigindo que os dispositivos corporativos utilizem VPNs de túnel completo e sempre ativas, capazes de rotear as solicitações de DNS pela infraestrutura corporativa confiável antes que elas cheguem ao gateway do hotel ou do centro de convenções.
Some isso à revisão das configurações de autenticação por código de dispositivo, ao uso de senhas fortes e únicas nos equipamentos de rede e ao monitoramento de mudanças de configuração, e você já terá uma barreira bem mais sólida. No fim das contas, a mensagem que fica é simples: trate toda rede que você não administra como potencialmente hostil. Em viagens de trabalho, essa desconfiança saudável pode ser a diferença entre uma conexão tranquila e o comprometimento de uma conta corporativa inteira.
