Microsoft heeft een grootschalige campagne van Russische hackers ontdekt tegen publieke wifi-netwerken in hotels, congrescentra en andere openbare locaties in verschillende landen. Volgens het technologiebedrijf waren de aanvallers gericht op zogenoemde captive portals: webpagina’s waarop gebruikers zich aanmelden voordat zij toegang krijgen tot een wifi-netwerk.
Microsoft brengt de campagne in verband met de hackergroep Storm-2945. Die groep wordt volgens het bedrijf gelieerd aan Midnight Blizzard, een hackerscollectief dat in verband wordt gebracht met de Russische buitenlandse inlichtingendienst.
Misbruik van aanmeldportalen
De aanvallers zouden toegang hebben gekregen tot gedeelde diensten die door meerdere aanbieders van wifi-netwerken met captive portals worden gebruikt. Daardoor konden zij gebruikers ongemerkt doorsturen naar een phishinginfrastructuur die onder hun controle stond.
Na het verbinden met een nieuw netwerk voeren browsers automatisch controles uit om vast te stellen of de internetverbinding werkt. De hackers maakten volgens Microsoft gebruik van die controles. Gebruikers kregen vervolgens meldingen waarin zij werden gevraagd een update voor hun browser of besturingssysteem te installeren. In werkelijkheid ging het om schadelijke software.
Microsoft heeft niet gemeld hoeveel netwerken, locaties of gebruikers door de campagne zijn geraakt. Evenmin is in de beschikbare informatie vastgesteld welke gegevens daadwerkelijk zijn buitgemaakt. Het bedrijf waarschuwde wel dat de werkwijze toegang kan bieden tot apparaten van gebruikers die verbinding maken met de getroffen netwerken.
Storm-2945 en Midnight Blizzard
De aanduiding Storm-2945 past in de naamgeving van Microsoft voor tijdelijke of nog niet volledig geïdentificeerde dreigingsclusters. Het bedrijf gebruikt zulke labels totdat een groep met grotere zekerheid aan een bekend hackerscollectief kan worden gekoppeld.
Storm-2945 wordt onderscheiden van Storm-1516, een netwerk dat volgens de aangeleverde informatie wordt geassocieerd met desinformatie, kunstmatige nieuwsverhalen, propagandavideo’s en pogingen om verkiezingen te beïnvloeden. Storm-2945 zou zich richten op technisch cyberespionage, waaronder aanvallen op lokale netwerkvoorzieningen en openbare wifi-infrastructuur.
De groep wordt door analisten beschreven als een gespecialiseerde onderafdeling van Midnight Blizzard. Dat collectief wordt in verband gebracht met de Russische buitenlandse inlichtingendienst, de SVR. Midnight Blizzard werd eerder verantwoordelijk gehouden voor de aanval op overheidsinstellingen in de Verenigde Staten in 2020 via de software van SolarWinds. In 2023 werd de groep ook in verband gebracht met een inbraak in de e-maildienst Outlook.
Risico voor zakelijke en overheidsapparaten
Publieke wifi-netwerken worden veel gebruikt tijdens dienstreizen, internationale conferenties, zakelijke ontmoetingen en verblijf in hotels. Daardoor kunnen ook diplomaten, overheidsmedewerkers en bedrijfsvertegenwoordigers met een getroffen netwerk verbinding maken. De beschikbare informatie stelt niet vast dat specifieke Europese burgers of instellingen via deze campagne zijn gecompromitteerd.
Het beschreven scenario maakt wel duidelijk waarom een besmetting op een openbaar netwerk gevolgen kan hebben buiten de locatie zelf. Wanneer schadelijke software op een zakelijk of overheidsapparaat wordt geïnstalleerd, kan dat apparaat later opnieuw verbinding maken met interne systemen. In de aangeleverde informatie wordt dat risico genoemd, maar er wordt geen concreet geval beschreven waarin via Storm-2945 toegang tot een bedrijfs- of overheidsnetwerk is verkregen.
De campagne richtte zich volgens Microsoft niet rechtstreeks op één nationaal systeem, maar op diensten die verschillende wifi-aanbieders konden bedienen. Hoeveel hotels en andere locaties onder dezelfde infrastructuur vielen, is niet bekendgemaakt.
Microsoft heeft organisaties en gebruikers gewaarschuwd voorzichtig te zijn met updateverzoeken die verschijnen na het verbinden met openbare wifi. Updates moeten volgens de verstrekte informatie uitsluitend via officiële bronnen worden geïnstalleerd. Ook wordt aangeraden automatische verbindingen met open netwerken uit te schakelen en terughoudend om te gaan met openbare wifi bij het verwerken van gevoelige informatie.
De melding van Microsoft is op 5 augustus 2026 door media gepubliceerd. Het bedrijf heeft daarbij geen volledige lijst bekendgemaakt van de betrokken landen, aanbieders of locaties. Onderzoek naar de campagne en de omvang van de mogelijke toegang loopt volgens de beschikbare informatie door.
