Microsoft advirtió sobre una campaña de ciberespionaje que comprometió redes Wi-Fi para huéspedes en hoteles, centros de convenciones y otros establecimientos de varios países. La operación, identificada como CaptiveCrunch, busca aprovechar los portales cautivos de acceso a internet para redirigir a los viajeros hacia páginas fraudulentas, instalar malware y obtener contraseñas, documentos, cookies y sesiones activas.
La compañía informó que detectó la actividad desde principios de mayo de 2026 y publicó los detalles técnicos el 31 de julio, a través de Microsoft Threat Intelligence. La alerta fue reportada originalmente por ABC News y difundida el 4 de agosto. Microsoft describió los ataques como “generalizados, pero selectivos”: aunque una infraestructura de red haya sido intervenida, los operadores no necesariamente intentan engañar a todas las personas conectadas.
Una amenaza que comienza en el portal cautivo
CaptiveCrunch se dirige contra redes que utilizan un portal cautivo, es decir, la página que aparece cuando una persona intenta conectarse al Wi-Fi de un hotel, aeropuerto, conferencia o espacio público. En condiciones normales, esa pantalla puede solicitar el número de habitación, una dirección de correo, una clave temporal o la aceptación de los términos de servicio.
La presencia de un portal cautivo no demuestra por sí misma que exista una intrusión. El riesgo surge cuando los atacantes obtienen acceso a la infraestructura que administra la conexión y manipulan el tráfico DNS y HTTP. Con ese control pueden enviar al usuario a servidores bajo su dominio y presentar instrucciones que aparentan ser parte del proceso legítimo de acceso.
Microsoft aún investiga cómo fueron vulneradas inicialmente las redes. Sus investigadores detectaron características comunes en equipos y sistemas de administración empleados por distintos establecimientos, por lo que analizan si la campaña pudo apoyarse en servicios compartidos o proveedores utilizados por parte de la industria hotelera. La empresa no publicó una lista de hoteles, ciudades o países afectados.
Actualizaciones falsas y órdenes para abrir PowerShell
Una vez que la víctima intenta conectarse, puede recibir una solicitud para descargar una supuesta actualización del sistema operativo, reparar la conexión, instalar un certificado o actualizar el navegador. Microsoft identificó varias modalidades empleadas para dar credibilidad al engaño: falsos avisos de Windows, análisis de Microsoft Defender, instaladores de DirectX y Microsoft Visual C++, herramientas de optimización de disco, diagnósticos de red, actualizaciones del navegador y programas para visualizar archivos PDF.
El archivo puede instalarse mientras la persona observa una barra de progreso y establecer mecanismos para permanecer activo en el dispositivo. También se detectaron páginas con verificaciones parecidas a las de Google, incluidos mensajes sobre tráfico inusual o instrucciones para demostrar que el usuario no es un robot.
En algunos casos, el engaño pide abrir la terminal de Windows, copiar un comando y ejecutarlo. Microsoft subrayó que una red pública legítima no necesita que el usuario abra PowerShell, descargue programas ni ejecute instrucciones para conceder acceso a internet. La petición inesperada de instalar o ejecutar software constituye, por tanto, una señal de alerta más relevante que la apariencia gráfica de la página.
CornFlake y ChocoShell amplían el alcance
El análisis técnico identificó una herramienta llamada CornFlake, descrita como un programa de acceso remoto para Windows. Según Microsoft, puede registrar las teclas presionadas, incluso cuando se escriben contraseñas; vigilar el contenido del portapapeles; tomar capturas de pantalla; activar el micrófono y la cámara; buscar y extraer archivos; revisar memorias USB conectadas y ejecutar comandos a distancia.
La campaña también utiliza ChocoShell, diseñado para extraer cookies de sesión, contraseñas almacenadas, credenciales de redes inalámbricas y tokens de acceso a servicios de Microsoft 365. Estos elementos son especialmente sensibles porque una cookie o un token puede mantener abierta una cuenta después del inicio de sesión. Si un atacante los roba, podría intentar reutilizarlos para acceder al correo electrónico, archivos de OneDrive u otros servicios sin volver a introducir la contraseña.
El impacto potencial no se limita a la información del viajero. En un equipo de trabajo, el robo de documentos, credenciales corporativas o tokens podría facilitar el acceso a recursos internos y convertir una infección individual en un incidente para toda una organización. La gravedad dependerá de los permisos de la cuenta afectada, de las medidas de autenticación activas y de si el dispositivo estaba conectado a otros servicios.
El engaño también imita el acceso a Microsoft
Microsoft detectó páginas que imitan servicios legítimos y conducen a un método conocido como phishing mediante código de dispositivo. En este esquema, la víctima puede ser enviada a una página auténtica de Microsoft y recibir instrucciones para introducir un código. Sin embargo, ese código puede corresponder a una sesión iniciada previamente por el atacante.
Si la persona completa el procedimiento, podría autorizar al ciberdelincuente en lugar de iniciar su propia sesión. La utilización de este mecanismo dentro de una pantalla que parece pertenecer al registro de un hotel aumenta la posibilidad de que el usuario interprete la solicitud como un requisito normal de conexión. El hecho de que una página sea auténtica no garantiza que el proceso iniciado desde ella sea seguro.
La atribución apunta a un grupo vinculado con Rusia
Microsoft atribuyó CaptiveCrunch a Storm-2945, al que identifica como un subgrupo operativo de Midnight Blizzard. Este actor también es conocido como APT29, Nobelium o Cozy Bear. Según la empresa, los gobiernos de Estados Unidos y Reino Unido relacionan a Midnight Blizzard con el Servicio de Inteligencia Exterior de Rusia, conocido como SVR.
La compañía señaló que ese grupo ha sido vinculado con operaciones de recopilación de inteligencia dirigidas principalmente contra gobiernos, entidades diplomáticas, organizaciones no gubernamentales y proveedores tecnológicos. La atribución se basa en elementos como la infraestructura utilizada, las herramientas, el código, los patrones de ataque y la selección de objetivos.
Microsoft aclaró que una atribución técnica no equivale a una resolución judicial. La identificación del responsable debe entenderse dentro de la evaluación de inteligencia y de las evidencias disponibles para la empresa, mientras continúan las investigaciones sobre el origen y la extensión de la campaña.
Qué recomiendan hacer los usuarios
Microsoft aconsejó tratar las redes de hoteles, aeropuertos, conferencias y otros espacios públicos como conexiones potencialmente no confiables. Cuando sea posible, la alternativa preferible es utilizar datos móviles, una eSIM o un punto de acceso personal. También recomendó confirmar con el establecimiento el nombre exacto de la red antes de conectarse.
Los usuarios no deberían descargar actualizaciones, certificados, antivirus, herramientas de reparación ni otros programas ofrecidos desde el portal de acceso. Las actualizaciones deben obtenerse mediante la configuración del sistema operativo, las tiendas oficiales o la página del fabricante. También es conveniente evitar la reutilización de contraseñas laborales, activar la autenticación multifactor, utilizar passkeys cuando estén disponibles y rechazar cualquier instrucción para copiar comandos en la terminal.
Si alguien descargó o ejecutó un archivo desde el Wi-Fi de un hotel, debe desconectar el equipo y abstenerse de utilizarlo para entrar a cuentas bancarias, correos laborales u otros servicios sensibles. Las contraseñas deben cambiarse desde otro dispositivo confiable, además de cerrar sesiones activas, revisar movimientos no reconocidos y realizar un análisis completo con una herramienta de seguridad actualizada. En equipos corporativos, el incidente debe comunicarse de inmediato al área de sistemas o ciberseguridad.
La alerta no significa que todas las redes hoteleras o todos los portales cautivos estén comprometidos. El riesgo aparece cuando la infraestructura ha sido intervenida y se utiliza la confianza del viajero para presentar archivos o instrucciones falsas. Si una página exige descargar una actualización o ejecutar un comando para obtener internet, la medida más segura es cerrar la sesión, desconectarse y cambiar a una conexión privada.
