酒店 Wi‑Fi 遭改 DNS，可將你帶去假登入頁：Microsoft 365 出差防騙清單
攻擊由網絡閘道開始，MFA 同 HTTPS 都要識得點睇
暑假出遊或者出差，返到酒店第一件事通常係駁 Wi‑Fi。ReliaQuest 最近發現，有攻擊者攞到酒店同會議場地網絡閘道嘅管理權限，再改動 DNS 設定，等連線用戶開 Microsoft 365 時走咗去攻擊者控制嘅地方。iThome 報道亦整理咗呢條攻擊鏈。活動至少由 2026 年 6 月開始，研究人員喺美國多個城市、印度同沙特阿拉伯見到受影響設備，暫時冇證據顯示香港酒店網絡已經中招。
打啱網址，去到邊度仍由 DNS 帶路
DNS 可以理解成網上地址查詢服務。手機或者電腦駁入酒店 Wi‑Fi 後，通常會採用酒店閘道提供嘅 DNS；閘道一旦俾人控制，攻擊者就可以回覆一個假 IP。就算你一開始打啱網址，DNS 查詢途中仍然有機會俾人帶去假網站。正常 HTTPS 會核對網站憑證，攻擊者冇合法憑證時，瀏覽器理應彈出警告；另一個常見做法就係再跳去外形相似嘅假網域。所以要睇清楚最終網址；見到憑證警告，就唔好撳『繼續』。，單靠鎖仔圖案亦證明唔到個網站真係屬於 Microsoft。
ReliaQuest 指出，攻擊者用過 m365-owa.com、owa-ms365.com、ms365-device.com 同 ms365-live.com 呢類扮 Microsoft 嘅網域。報告亦話，硬設 8.8.8.8 呢類公共 DNS 未必幫到手，因為普通 DNS 查詢未離開酒店閘道已經可以俾人截走同回假答案。嚴格模式嘅加密 DNS，即 DoH 或 DoT，而且關閉普通 DNS 後備連線，可以收窄呢個缺口；不過佢只保護 DNS 查詢，唔會代你判斷授權要求合唔合理，亦包唔晒公共 Wi‑Fi 嘅其他風險。
圖片：ReliaQuest
Device code 可以令你親手批出登入權
呢次研究仲見到少量 device-code 攻擊。呢套流程原本畀電視、會議室設備或者冇完整鍵盤嘅裝置登入：裝置顯示一組代碼，用戶再喺另一部機開 Microsoft 登入頁輸入。攻擊者可以先喺自己嗰邊啟動流程，再氹用戶輸入佢提供嘅代碼或者批准要求。頁面甚至可以係真正 Microsoft 網域，密碼同 MFA 亦照常完成，但完成後批出嘅 OAuth token 會落到攻擊者手上，令佢可以用你嘅身分登入。。突然收到冇由來嘅裝置代碼、授權或者登入確認，唔好因為頁面係真就照批。
出差用戶即刻做到嘅五件事
處理公司電郵、文件或者銀行服務時，最穩陣係轉用自己嘅流動數據或手機 hotspot。一定要用公共 Wi‑Fi，就先完成酒店 captive portal，跟住開可信 VPN；公司機最好用自動啟動、full-tunnel 模式，確認 VPN 已連好先開 Microsoft 365。書籤或者密碼管理器可以幫手避開手打相似網域，但每次重新登入仍要核對最終 hostname。公共網絡突然要求公司帳戶重新登入、輸入 device code、接受新 app 權限或者略過憑證警告，直接關頁，轉網絡後再由官方 app 或書籤開返。
公司 IT 要封住授權流程同 DNS 出口
公司層面可以強制工作電腦用 always-on、full-tunnel VPN，確認 DNS 同身份驗證流量冇經 split tunnel 漏返出去；冇業務用途就關閉 WPAD。Microsoft 將 device code 列為高風險身份驗證流程，建議盡量用 Entra Conditional Access 封鎖。正式開政策前應先用 report-only 模式查清楚 Teams Rooms、Azure CLI 同開發工具有冇依賴，再只為獲批帳戶保留窄範圍例外。IT 亦要監察陌生地點、未知 app 同異常 device-code 登入；懷疑有人批錯授權時，除咗改密碼，仲要撤銷 session、檢查 OAuth 權限同移除可疑註冊裝置。
ReliaQuest 只以手法重疊為由，話今次活動同 APT28／FrostArmada 有相似之處，相關基建又對唔上已知 APT28 資產，所以未足以直接定性為俄羅斯組織所為。對出差用戶嚟講，攻擊者係邊個唔影響處理方法：公共 Wi‑Fi 一彈出意料之外嘅工作帳戶登入或授權，先停低，轉用可信連線再核實。
參考來源
- iThome — ReliaQuest揭露旅館Wi-Fi遭竄改DNS組態，駭客藉此竊取企業M365帳號 — original report
- ReliaQuest：DNS Poisoning Tactics Expand to Hospitality Wi-Fi — 原始威脅研究，交代攻擊鏈、歸因信心、技術限制同防護建議
- Microsoft Entra：Conditional Access authentication flows — 核對 device code flow 風險、記錄欄位同官方封鎖建議
- Microsoft Entra：Restrict device code flow for Teams devices — 核對 report-only 測試、例外帳戶同正式部署 Conditional Access 嘅做法
- CISA：Holiday Traveling with Personal Internet-Enabled Devices — 公共 Wi‑Fi 處理敏感資料嘅官方旅遊保安建議
- BleepingComputer：Hackers hijack hotel Wi-Fi DNS to steal Microsoft 365 accounts — 獨立資安報道，交叉核對攻擊流程同研究披露內容
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
