ホテルWi-FiがDNSポイズニングの標的に　狙いは出張者のMicrosoft 365アカウント窃取

ホテルWi-FiがDNSポイズニングの標的に　狙いは出張者のMicrosoft 365アカウント窃取

CyberInsider – July 24, 2026

ホテルやカンファレンスセンターのWi-Fiゲートウェイを侵害し、ゲストWi-Fiの利用者を偽のMicrosoftログインページへリダイレクトして企業アカウントを盗もうとするDNSポイズニングキャンペーンについてReliaQuestが報告。このキャンペーンでは、米国、インド、サウジアラビア各地のホテルやカンファレンス会場に置かれたキャプティブポータル機器が侵害されているという。

キャプティブポータルゲートウェイは、ホテルや空港、カンファレンス会場、大学、病院といった施設で使用される、ゲストWi-Fiを管理するためのネットワーク機器。接続したユーザーのDNS解決を制御するデバイスであることから、攻撃者は単一のゲートウェイを侵害できれば、ネットワークを使用するすべてのゲストのWebトラフィックを改変できるようになる。つまり、各ゲストのデバイスを個別に感染させることは不要になる。

今回ReliaQuestが観測した攻撃は、出張でホテルやカンファレンスセンターを利用する従業員を標的にしたもので、特定の業界を狙ったものではないとみられる。実際、標的となっているセクターは金融、ヘルスケア、法律サービス、エネルギー、小売、プロフェッショナルサービスと幅広い。

ReliaQuestによれば、攻撃者はDNSポイズニングを実施するにあたり、まずは公開状態の管理インターフェース（SSH、SNMP、Web管理パネルなど）を悪用してホテルのWi-Fiゲートウェイを侵害。この際、脆弱な認証情報や使い回しの認証情報が使われたとされる。内部への潜入に成功すると、ゲートウェイのDNS設定を変更し、正規Webサイトへのリクエストが攻撃者の制御するインフラへリダイレクトされるようにしたという。

ReliaQuestの研究者は、マイクロソフトを装った以下のドメインがこのキャンペーンで使われたのを観測している。このインフラは、ゲストWi-Fiに接続した従業員から認証情報や認証トークンを収集する目的で作成された偽Microsoft 365ログインページをホストしている。

• m365-owa[.]com
• owa-ms365[.]com
• ms365-device[.]com
• ms365-live[.]com

ReliaQuestによれば、このキャンペーンは2026年4月に阻止された別のキャンペーン「FrostArmada」といくつかの戦術を共有しているという。FrostArmadaはロシアのアクターAPT28の関与が指摘されるキャンペーンで、DNS設定を改変してトラフィックを攻撃者のサーバーへリダイレクトさせることにより、SOHOルーターを侵害することを目指す。攻撃者の制御するサーバーはDNSリゾルバとして機能し、認証トラフィックの傍受とMicrosoftログインおよびOAuthトークンの窃取を可能にするものだったとされる。ReliaQuestはTTPにおけるいくつかの共通点を認識しているものの、今回のホスピタリティ業界に対するDSNポイズニングキャンペーンがFrostArmada自体であるとは評価しておらず、APT28の関与を指摘してもいない。

また、今回のキャンペーンでは、FrostArmadaでは報告されていなかった新たな手法が2つ見つかっている。1つは、 WindowsのWPAD（Web Proxy Auto-Discovery）機能を悪用し、アプリケーショントラフィックを悪意あるプロキシサーバー経由でルーティングするというもの。この手法は、観測されたケースの3分の1で使用されていたという。また2つ目の手法は、マイクロソフトのデバイスコード認証フローを悪用するもの。この手法が使われたケースは限定的だったとされる。

ReliaQuestの研究者らは、Googleの8.8.8.8などのパブリックDNSサービスは依然として暗号化されていないDNSトラフィックに依存しており、侵害されたゲートウェイによってそのトラフィックが傍受・改ざんされる可能性があるため、一般的なDNS保護対策は多くの場合効果がないと警告。同様に、Opportunisticモードで設定されたDNS暗号化も平文のリクエストに切り替わってしまう可能性があり、結果としてシステムが危険にさらされる恐れがあると述べた。

組織は、フルトンネルモードで設定された常時接続型VPNを適用し、すべてのDNSおよびWebトラフィックがパブリックネットワークに到達する前に信頼できる社内インフラを経由するようにすることで、この攻撃経路をほぼ排除できるという。その他の推奨事項としては、不要な場合はWPADを無効にすること、必要がない場合はEntra IDにおけるMicrosoftのデバイスコード認証フローをブロックすること、未知のプロキシホストを経由する接続の認証アクティビティを監視すること、および企業の認証情報を入力する前にWebサイトのURLを確認することなどが挙げられている。

悪性サイトがJavaScriptを用いてブラウザメモリ内にマルウェアを作成

BleepingComputer – July 25, 2026

日本含むアジア太平洋地域とラテンアメリカ地域を主な標的とするマルバタイジングオペレーション「SourTrade」について、広告セキュリティプラットフォームのConfiantが報告。このキャンペーンでは、固定された外部のURLから悪意あるファイルを配信するのではなく、正規のBunランタイムをベースとして使って、被害者のブラウザ自身に最終的なWindows実行ファイルを生成させているという。

SourTradeは、2024年後半から行われている持続的かつ大規模なマルバタイジングキャンペーン。日本、タイ、韓国、台湾、香港、ボリビア、ブラジル、ナイジェリア、トルコ、南アフリカ、オーストラリア、英国を標的に、英語および現地の公用語（25種類の言語）の悪性広告を表示させているという。こうした悪意ある広告は、LUNO、Solana、TradingViewという3つの暗号資産／取引関連プラットフォームになりすました偽ランディングページへと被害者を誘い出すために使われている。これらの偽ページには悪性JavaScriptが仕込まれており、このJavaScriptが被害者のブラウザに対し、メモリで直接マルウェアを構築するよう指示を出すとされる。

偽ランディングページには「ダウンロード」ボタンが用意されているものの、これがクリックされるのを待たずに同ページはマルウェア配信経路の準備を開始。まず「/sw.js」にページスコープのServiceWorkerを登録し、このワーカーがダウンロードマネージャーとして機能してマルウェアファイルの段階的な構築を助けるという。

次に、ランディングページは自身のSharedWorkerを使い、「/config」レスポンスを自身にリクエスト。このレスポンスにより、ブラウザがローカルでファイルを構築するのに必要なテンプレートと入力値が返される。そして、この方法で取得したリモートコンポーネントと、ローカルで生成されたバイト列を用いて、Bun実行ファイルのクリーン版から悪意あるペイロードが生成されるという。

最終的なマルウェア実行ファイルのビルドが完了すると、偽のダウンロードページはプロセスの開始時にそのファイルをServiceWorkerに引き渡し、同一オリジンでのダウンロードパスをトリガーさせる。

「ブラウザの観点で見ると、ユーザーは実行ファイルをランディングページのドメインからダウンロードすることになる」とConfiantの研究者はコメントしている。Mark of the Webのタグは追加されるものの、この手法の利点は、完成したマルウェア実行ファイルがネットワークを介して転送されることがない点。これにより検出や分析が困難になるとされる。

Confiantは、最終的なペイロードがどのような性質のものなのかを明かしていない。ただ、同社は自身の調査結果が、2025年に公開されたBitdefenderのレポートの内容をサポートするものだとコメントしている。このBitdefenderのレポートは同じく持続性のあるマルバタイジングキャンペーンに関するもので、ペイロードには以下の性能があった旨が報告されていた。

• すべてのユーザーネットワークトラフィックの傍受（プロキシとして機能）
• Cookieおよびパスワードデータの収集
• キーストロークの記録、スクリーンショットの取得
• 暗号資産ウォレットデータの窃取
• 長期的な永続性の確立

SourTradeキャンペーンは個人トレーダーや暗号資産投資家を標的としているため、こうした活動を行っているユーザーは、ソーシャルメディアの広告やスポンサー付き検索結果から金融アプリや仮想通貨アプリをダウンロードしないようにすることが推奨される。実行ファイルは各ベンダーの公式サイトから入手すること、また、インストーラーを実行するためにデジタル署名と発行元を確認することも重要になるとのこと。