ISSコラム

3行でわかる今回の脅威

• ホテルやカンファレンス会場のWi-Fi機器（キャプティブポータル装置）そのものが乗っ取られ、接続した全員の通信が攻撃者の用意した偽サイトへ誘導されています。
• フィッシングメールは届きません。怪しいリンクも踏みません。ホテルのWi-Fiに繋いだだけで、偽のMicrosoft 365ログイン画面や偽のWindows更新画面が表示されます。
• ReliaQuest（2026年7月23日）とMicrosoft（同7月31日）が相次いで公表。Microsoftはロシア系攻撃者による作戦「CaptiveCrunch」として、2026年5月上旬から世界各国で継続中と報告しています。

1. 何が起きているのか

出張先のホテルでノートPCを開き、いつものようにゲストWi-Fiに接続する。ブラウザが自動的に立ち上がり、接続確認のページが表示される。ここまでは、誰もが毎月のように繰り返している日常の動作です。

今回明らかになった攻撃は、まさにこの「日常の動作」の中に仕掛けられています。

攻撃者が狙ったのは、宿泊客のPCでもスマートフォンでもなく、**ホテル側のWi-Fiゲートウェイ（キャプティブポータル装置）**でした。この機器は、そのネットワークに接続する全ゲストの名前解決（DNS）と通信の出入り口を一手に担っています。つまり、この1台を掌握すれば、攻撃者は端末に一切触れることなく、その日その場所で接続した全員の通信の行き先を書き換えられるわけです。

ReliaQuestの調査では、米国の複数都市に加えインドやサウジアラビアでも侵害された機器が確認され、接続元は金融、専門サービス、法務、医療、エネルギー、小売と業種を問いませんでした。特定業界を狙ったのではなく、「出張しているビジネスパーソン」という属性そのものが標的になっている、という点が今回の本質です。

2. 攻撃の流れ

ポイント①：メールが来ない、リンクを踏まない

従来のフィッシングは「メールを開かせ、リンクを踏ませる」ことが前提でした。今回は、利用者が正しいURLを自分で入力しても、DNSの答えそのものが偽物なので偽サイトに着地します。ユーザー教育でよく言われる「送信元を確認する」「リンクにマウスを乗せて確認する」といった対策が、構造的に機能しません。

ポイント②：MFAを突破せずにアカウントを奪う「デバイスコード認証の悪用」

特に注意が必要なのがこれです。デバイスコード認証は、テレビやIoT機器などキーボード入力が難しい端末のために用意された正規のOAuthの仕組みです。
攻撃者は、まず自分の側でサインイン要求を開始し、そこで発行されたコードを利用者に入力・承認させます。利用者から見れば、表示されているのは本物のMicrosoftのサインイン画面です。ドメインを確認しても、証明書を確認しても、偽物ではありません。しかし承認した瞬間、Microsoftは攻撃者のセッションに対して正規のトークンを発行します。
結果として、パスワードは盗まれていないのに、MFAも正しく通過しているのに、アカウントは攻撃者の手に渡ります。パスワード変更だけでは止まりません。

ポイント③：「更新プログラム」を装ったマルウェア

Microsoftの報告では、ブラウザやOSの接続確認通信（キャプティブポータル検出）に応答する形で、偽のアップデート画面を表示するケースが確認されています。「ドライバー修復に失敗しました。以下のコマンドをターミナルに貼り付けて実行してください」といった、いわゆる ClickFix 型の手口です。利用者自身にコマンドを実行させることで、セキュリティ製品の検知をすり抜けます。

投下されるのは以下のようなマルウェアです。

名称	種別	主な機能
CornFlake	Go言語製 Windows RAT	キーロガー、クリップボード監視、スクリーンショット、マイク・カメラによる録音／録画、ブラウザ認証情報窃取、ファイル持ち出し、USB監視、リモートシェル。サービス登録・Runキー・タスクスケジューラ・監視ルーチンによる多重永続化
ChocoShell	PowerShell製 情報窃取ツール	メモリ上のみで動作。AMSI無効化、UACバイパス、ブラウザCookieと保存パスワード、Microsoft 365のSSOトークン、さらに保存済みWi-Fiパスワードまで窃取

Androidを狙ったAPKの配布を示唆する痕跡も確認されており、Windows PCだけの問題ではありません。

3. なぜ「いつもの対策」では防げないのか

ここが、今回のコラムで最もお伝えしたい部分です。

❌ 端末に「8.8.8.8」を設定しているから大丈夫 → 防げません DNSクエリ自体は平文でゲートウェイを通過します。ゲートウェイを握られている以上、宛先をどこに設定していても、応答を偽造されて終わりです。

❌ 暗号化DNS（DoH／DoT）を有効にしているから大丈夫 → 設定次第です 多くの実装は既定が「opportunistic（日和見）モード」で、暗号化に失敗すると平文にフォールバックします。攻撃者はそのフォールバックを狙います。**strict モード（平文フォールバック禁止）**でなければ意味がありません。

❌ MFAを有効にしているから大丈夫 → 前述のとおり突破されます デバイスコード認証の悪用は、MFAを「破る」のではなく「正規に通過させる」手口です。

❌ 従業員教育をしているから大丈夫 → 教育の前提が崩れています 「怪しいメールを開かない」という教育は、メールが来ない攻撃には効きません。教育の内容自体をアップデートする必要があります。

❌ スプリットトンネルVPNを使っているから大丈夫 → 抜け道が残ります DNSや認証通信がトンネルの外を通る設定になっていれば、そこが狙われます。

4. 組織として、いま実施すべき対策

優先度の高い順に整理しました。最初の1つだけでも、今回の攻撃経路の大部分は塞げます。

【最優先】常時接続・フルトンネルVPNの強制

ReliaQuest・Microsoft双方が第一の対策として挙げているのがこれです。DNSを含むすべての通信を、ホテルのゲートウェイに触れる前に自社ネットワーク経由にすることで、攻撃はその起点で成立しなくなります。

実装時の要点は3つです。

1. ネットワーク接続と同時に自動でトンネルが確立されること
2. トンネル確立前はインターネットアクセスを遮断すること
3. スプリットトンネルの例外設定を棚卸しし、原則排除すること

【高】Entra ID のデバイスコードフローをブロック

一般の業務利用でデバイスコード認証が必要な場面はほとんどありません。条件付きアクセスポリシーで既定ブロックとし、必要な業務・端末のみ例外とする運用が推奨されます。今回の攻撃の最も危険な経路を、設定1つで閉じられます。

【高】フィッシング耐性のある認証への移行

パスキー（FIDO2）を中心としたパスワードレス認証への移行。あわせて、サインインリスクポリシー、継続的アクセス評価（CAE）を有効化し、リスク検知時にセッションを即時失効させる構成にします。

【中】WPAD（Web Proxy 自動検出）の無効化

Windowsでは既定で有効です。ゲートウェイを掌握した攻撃者は、悪意あるPACファイルを配布してアプリケーション通信全体をプロキシ経由に流し込むことができます。自動プロキシ検出が不要な環境では、グループポリシーで無効化してください（今回の調査でも、全体の約3分の1のケースで悪用の試みが観測されています）。

【中】端末・接続の管理

・MDMでプロビジョニング済み以外のWi-Fiへの接続を禁止する
・会社支給のモバイルルーター／eSIMを配布し、公衆Wi-Fiを使わせない運用に切り替える
・社内トンネルを張る出張用ルーターの導入を検討する

【中】ゲスト網登録時の情報最小化

キャプティブポータルの登録画面に、社用のIDやパスワードを絶対に入力しないよう周知してください。所属組織名・役職・出張日程などの不要な開示も、標的化の材料になります。

【運用】検知・ハンティング

・プロキシ認証ログで、未知のホスト経由の認証を洗い出す
・公表されているIOC（末尾に掲載）に対する遡及調査
・出張から戻った端末の、接続直後のファイル生成・サービス登録の確認

5. 出張する社員へ徹底するべき五か条

① ホテル・空港・会議場のWi-Fiは「信用しない」が前提。 可能な限り、会社支給のモバイルルーターかスマートフォンのテザリングを使う。

② VPNが繋がっていない状態で、業務システムにアクセスしない。

③ Wi-Fi接続後に出てくる「更新してください」は、すべて疑う。 ブラウザ更新、ドライバー修復、セキュリティ確認 ―― どれも本物ではありません。OSやアプリの更新は、必ずOS標準の更新機能から、信頼できる回線で行う。画面の指示どおりにコマンドを貼り付けて実行するのは、絶対にNG。

④ 身に覚えのない「コードを入力してください」は、その場で中断。 自分で始めていないサインイン要求を承認しない。承認した記憶がある場合は、すぐに情報システム部門へ連絡を。

⑤ Wi-Fiの登録画面に、社用のIDやパスワードを入力しない。

6. 補足：帰属（アトリビューション）についての注記

同じ事象について、　次の2社の見解には差があります。分析の前提として押さえておくと有用です。

• ReliaQuest：APT28（Fancy Bear／Forest Blizzard、ロシア軍参謀本部情報総局系）と手口が類似する、と評価。ただし2026年4月に公表されたSOHOルーター侵害キャンペーン「FrostArmada」とはインフラが一致しないため、直接の帰属は避けています。
• Microsoft：Storm-2945（Midnight Blizzard／ロシア対外情報庁 SVR 系のサブクラスタ）に帰属させ、作戦名を CaptiveCrunch としました。

つまり、「ロシア系の国家支援型アクターによる、出張者を標的とした諜報目的の作戦」という点では一致しており、恒常的な体制として対策すべき脅威と捉えるのが妥当です。なお現時点で、日本国内のホテルにおける被害は公表されていませんが、狙われているのは「出張者」であり、日本企業の海外出張者は当然に射程内です。

7. まとめ

今回の事案が示しているのは、**「境界の外側にある他人のネットワークを、どこまで信用してよいか」**という問いです。ゼロトラストという言葉は久しく語られてきましたが、ホテルのWi-Fiゲートウェイは、まさにその「信用してはいけない前提」が現実の被害として顕在化した領域でした。

対策の多くは、新しい製品の導入ではなく、既にお持ちの設定の見直しで実現できます。フルトンネルVPNの強制、デバイスコードフローのブロック、WPADの無効化 ―― この3点だけでも、今すぐ着手する価値があります。

付録：主なIOC（侵害指標）

指標	種別	備考
ms365-device[.]com	ドメイン	デバイスコード認証への誘導
ms365-live[.]com	ドメイン	デバイスコード認証への誘導
m365-owa[.]com	ドメイン	AitM基盤
owa-ms365[.]com	ドメイン	AitM基盤
31.57.243[.]154	IPアドレス	AitM基盤
38.146.28[.]75	IPアドレス	AitM基盤／DNS汚染応答先
38.146.28[.]132	IPアドレス	攻撃者DNSリゾルバ
104.194.159[.]150	IPアドレス	AitM基盤
107.189.26[.]194	IPアドレス	ChocoShell C2／DNSリゾルバ
213.145.86[.]112	IPアドレス	ChocoShell C2
918fa52ae45ed60ba7cc8bdc99c3cbe9ab92e0375ec31fc05d0d4513be11c593	ハッシュ	CornFlake
be99857449d2856dd5a84e21c8a3d5e0e01456adb44062ddec5a6b4970d8d42c	ハッシュ	ChocoShell

※IOCは公表時点のものです。攻撃者インフラは頻繁に更新されるため、ブロックリストとしての運用は補助的な位置づけとしてください。Microsoft Defender XDR／Sentinel向けのハンティングクエリは、下記Microsoftの記事に掲載されています。

参考文献

1. ReliaQuest Threat Research, "DNS Poisoning Tactics Expand to Hospitality Wi-Fi"（2026年7月23日）
https://reliaquest.com/blog/threat-spotlight-dns-poisoning-tactics-expand-to-hospitality/

2. Microsoft Threat Intelligence, [CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theft]（2026年7月31日）
https://www.microsoft.com/en-us/security/blog/2026/07/31/captivecrunch-midnight-blizzard-targets-travelers-worldwide-for-malware-delivery-and-credential-theft/

3. Zak Doffman, [Microsoft Issues Hotel Wi-Fi Warning For Windows PC Users], Forbes（2026年8月1日）
https://www.forbes.com/sites/zakdoffman/2026/08/01/microsoft-issues-hotel-wi-fi-warning-for-windows-pc-users/

 

インターネットセキュアサービス株式会社では、脅威インテリジェンスの提供、脆弱性診断、ペネトレーションテスト、ISMS／ISO27001認証取得支援を通じて、お客様のセキュリティ体制構築をご支援しています。出張者を含むリモートワーク環境のリスク評価や、条件付きアクセス・VPN構成の見直しについてもご相談ください。