ホテルなどの公共Wi-Fiを狙い、Microsoft 365のアカウント情報を窃取する新たな攻撃が確認された。セキュリティベンダーのReliaQuestが2026年7月23日に公開したブログで明らかにしたもので、DNSポイズニングと呼ばれる手法を使い、利用者を偽のログインページに誘導する。
これまで公共Wi-Fiは「HTTPSがあれば安全」とされてきたが、今回の攻撃はその前提を覆すものだ。Wi-Fiの認証画面（キャプティブポータル）を乗っ取り、DNSの応答を改ざんすることで、利用者が正規のサービスにアクセスしようとすると、攻撃者が用意した偽サイトへリダイレクトされる。
「CaptiveCrunch」と命名された攻撃キャンペーン
Microsoftも公式ブログで、この攻撃キャンペーンを「CaptiveCrunch」と名付け、旅行者を標的にマルウェア配布と認証情報の窃取を行っていると報告している。攻撃者はWi-Fi接続時の通信を傍受し、「ドライバーの修復が必要です」などの偽の警告画面を表示。利用者自身にPowerShellベースのインフォスティーラー「ChocoShell」を実行させる。
この手口は「ClickFix」と呼ばれるもので、利用者の心理を操作してマルウェア感染を促す。Microsoftは、この活動に国家支援型のハッカー集団が関与していると述べており、標的は政府機関や外交関連組織、NGO、ITサービス事業者などだという。
DNSポイズニングへの対策
DNSポイズニングは、ドメイン名とIPアドレスの対応表を改ざんする攻撃だ。利用者が正規のURLを入力しても、攻撃者が用意した偽サイトに誘導されるため、気付かないうちに認証情報を盗まれる。
対策として、ReliaQuestはフルトンネル構成で常時VPNをオンにすることを推奨している。また、プロキシ認証ログを監視し、不審なログを探すこと、不要な場合はWindowsの「Web Proxy Auto-Discovery」（WPAD）を無効にすること、認証情報を入力する前にサイトを確認すること、Microsoft Entra IDの条件付きアクセスでデバイスコード認証フローをブロックすることなどを提案している。
公共Wi-Fiの利用自体をやめる必要はないが、リスクを理解し、組織の指示に従うことが重要だ。可能な限りスマートフォンのテザリングを利用し、やむを得ず公共Wi-Fiを使う場合は、接続前にフルトンネル型VPNをオンにし、接続直後に警告が表示されたら無視してすぐに切断する。
