حذرت شركة مايكروسوفت المسافرين من الاتصال بشبكات Wi-Fi المجانية في الفنادق والمطارات ومراكز المؤتمرات، بعد رصد حملة قرصنة تستهدف هذه الشبكات لنشر برمجيات خبيثة وسرقة كلمات المرور والبيانات الحساسة.

وكشفت وحدة Microsoft Threat Intelligence عن حملة تحمل اسم CaptiveCrunch، بدأت نشاطها منذ مايو 2026، وتستهدف شبكات Wi-Fi في الفنادق وأماكن الضيافة حول العالم.

وبحسب مايكروسوفت، ترتبط الحملة بمجموعة Storm-2945، وهي مجموعة فرعية مرتبطة بـ Midnight Blizzard الروسية، والمعروفة أيضا باسم APT29 أو Cozy Bear. ويبدو أن القراصنة يستهدفون بصورة خاصة المسافرين من رجال الأعمال، بهدف الوصول إلى حساباتهم المهنية والبيانات الخاصة بالشركات التي يعملون بها.

كيف يتم استدراج الضحية؟

تعتمد الحملة على استغلال ما يعرف بـ Captive Portal، وهي صفحة تظهر عادة عند الاتصال بشبكة Wi-Fi في الفندق أو المطار، وتطلب من المستخدم تسجيل الدخول أو الموافقة على شروط الاستخدام.

ويستغل المهاجمون هذه الآلية للتلاعب بحركة DNS وHTTP وإعادة توجيه المستخدم إلى صفحات ومواقع خاضعة لسيطرتهم، بدلا من صفحات الاتصال الرسمية.

وبعد ذلك، قد تظهر للضحية نافذة تطلب منه تثبيت تحديث أو حل مشكلة تتعلق بالاتصال. لكن ما يبدو كتحديث لنظام التشغيل أو المتصفح قد يكون في الحقيقة برمجية خبيثة تمنح المهاجمين إمكانية الوصول إلى الجهاز.

وقد تتنكر الصفحات المزيفة في شكل تحديثات لنظام Windows أو المتصفحات، بينما قد تطلب بعض الصفحات من المستخدم اجتياز اختبار أمني مزيف. أما مستخدمو أجهزة Android، فقد يُطلب منهم تنزيل ملف APK وتثبيته، ما قد يؤدي إلى إصابة الجهاز.

سرقة حسابات مايكروسوفت

لا تقتصر الحملة على نشر البرمجيات الخبيثة، إذ تستخدم المجموعة أيضا أسلوب التصيد عبر رمز الجهاز (Device-Code Phishing) لسرقة صلاحيات الدخول إلى الحسابات.

وقد يُعاد توجيه الضحية إلى صفحة تسجيل دخول حقيقية تابعة لمايكروسوفت، ويُطلب منه إدخال رمز معين. وعلى الرغم من أن الصفحة تبدو أصلية، فإن إدخال الرمز قد يمنح المهاجمين إمكانية الوصول إلى جلسة المستخدم والاستيلاء على الحساب.

وبعد اختراق الجهاز أو الحساب، يمكن للمهاجمين سرقة بيانات تسجيل الدخول، ومراقبة ما يظهر على الشاشة، وتسجيل ضغطات لوحة المفاتيح، إضافة إلى التقاط الصوت والصورة.

برمجيات خبيثة لسرقة البيانات

حددت مايكروسوفت برمجيتين خبيثتين تستخدمهما الحملة، هما CornFlake وChocoShell

وتستطيع CornFlake سرقة الملفات وكلمات المرور وبيانات تسجيل الدخول، إلى جانب التقاط لقطات للشاشة وتسجيل الصوت والفيديو.

أما ChocoShell، فتستهدف ملفات تعريف الارتباط الخاصة بالمتصفحات، وكلمات المرور المحفوظة، وبيانات تسجيل الدخول إلى Microsoft 365، وحتى كلمات مرور شبكات Wi-Fi.

وهذا يعني أن اختراق جهاز واحد لمسافر قد يتحول إلى بوابة للوصول إلى معلومات شخصية ومهنية بالغة الحساسية.

كيف تحمي نفسك؟

تنصح مايكروسوفت بالتعامل مع شبكات Wi-Fi العامة في الفنادق والمطارات ومراكز المؤتمرات باعتبارها شبكات غير موثوقة.

وعند توفر الخيار، يُفضل استخدام نقطة اتصال من الهاتف أو eSIM أو اتصال خاص بدلا من الشبكات العامة، خصوصا عند التعامل مع الحسابات البنكية أو حسابات العمل.

والأهم، تحذر الشركة من تثبيت أي تحديث أو شهادة أمان أو برنامج أو ملف APK لمجرد أن صفحة Wi-Fi طلبت ذلك.

إذا احتاج جهازك إلى تحديث، قم بتنزيله من خلال نظام التشغيل نفسه أو الموقع الرسمي للبرنامج، وليس من نافذة ظهرت أثناء الاتصال بشبكة الفندق.

القاعدة الذهبية: إذا طلبت منك شبكة Wi-Fi عامة تنزيل برنامج أو ملف أو شهادة أو تحديث للمتصفح، فأغلق الصفحة ولا تثبّت أي شيء.