ホテルのWi-Fiにつなぐと出てくる、利用規約の画面。Microsoftが7月31日に公表した攻撃は、その画面を出しているゲートウェイ側を侵害していました。偽のアクセスポイントも、フィッシングメールも使いません。先行して同じインフラを調べた会社は、別系統の組織の手口との類似も指摘しています。
Microsoftは2026年7月31日、ホテルや会議施設の公衆Wi-Fiのキャプティブポータルを侵害し、出張者にマルウェアを配布して認証情報を盗む攻撃活動「CaptiveCrunch」を公表した。
米英政府がロシア対外情報庁（SVR）に帰属させているMidnight Blizzardの下位クラスター、Storm-2945によるものと評価している。5月上旬以降、DNSとHTTPの通信を操作して利用者を攻撃者のインフラへ誘導し、ブラウザやOSが接続時に出す確認通信に応答して偽の更新画面を表示、ClickFix手法でGo言語製のRAT「CornFlake」を実行させる。
7月16日以降はデバイスコード認証を悪用する誘導も確認された。侵入経路は調査中である。
【編集部解説】
狙われたのはホテルではなく、そこに泊まる人
この攻撃で最初に押さえられたのは、宿泊客の端末ではなくWi-Fiの入口にあたるゲートウェイ側です。そこを操作できれば、その日その施設で接続した端末の通信先をまとめて書き換えられます。端末が侵害されるのは、そのあと利用者が画面の指示に従った場合です。
メールも添付ファイルも介在しません。偽のアクセスポイントを立てなくても成立するため、ネットワーク名を確かめるだけでは防げません。正規のゲストネットワークにつないだ直後という文脈が、偽の更新や認証要求を正当なものに見せやすくしています。
「ホテルが悪い」で終わらない構造
Microsoftは、被害を受けた複数のネットワークで、使われている機器と管理システムに共通点があったと述べています。そのうえで、施設ごとの個別の侵害ではなく、キャプティブポータルを支えるエコシステムの共有サービスへのアクセスが背景にある可能性を示しました。
これが正しければ、施設単位の侵害だけでは説明がつきません。複数の施設に共通する機器や管理システム、あるいは共有サービスの側に、共通のアクセス経路が存在する可能性があります。ただしMicrosoftは、特定の機器ベンダーやポータル管理事業者が侵害されたと確認したとは述べていません。初期侵入経路も調査中のままです。
先行して7月23日に報告したReliaQuestは、インターネットに露出した管理インターフェース（SSH、SNMP、Web管理コンソール）と、弱いパスワードや使い回しの組み合わせではないかという仮説を示しています。ただし確度は「低〜中」で、機器そのものを直接確認できたわけではないと明記しています。
8月上旬にも、Zbtlink製ルータのバックドアとLightSpyのルータ感染を扱いました。いずれも「端末より手前の共有インフラ」を取りにいく点で、同じ方向を向いています。
帰属は、どこまで確かめられているか
Microsoftは、この作戦をStorm-2945に帰属させました。Storm-2945は、同社がMidnight Blizzard（APT29、Cozy Bear）の運用サブクラスターと評価する活動群です。Midnight Blizzardは米英政府がロシア対外情報庁の傘下と認定している、対外諜報の系統にあたります。
この「Storm-2945はMidnight Blizzard系である」という判断について、Microsoftは根拠を列挙しています。Storm-2372との技術的な類似、2025年を通じて追跡されたデバイスコードおよびOAuthコードのフィッシング、Microsoft Graphを使ったメールの持ち出し、商用メッセージアプリ経由のソーシャルエンジニアリング、そして標的傾向の顕著な重なりです。
一方で、今回のCaptiveCrunchをStorm-2945のものと判断した根拠については、結論だけが述べられています。4月に公表したForest BlizzardのDNSハイジャック作戦との手口の類似を認めたうえで、それでもStorm-2945に帰属すると記すにとどまり、この作戦固有の帰属指標は別立てで示されていません。これを独立に検証した公開分析も、現時点では確認できません。
先行して同じ攻撃インフラの一部を調べたReliaQuestは、APT28（Fancy Bear、Forest Blizzard）が過去に行ったDNSハイジャックとの手口の類似を指摘しました。APT28はロシア軍情報部と結び付けられてきた、別系統の組織です。ただし同社は、共有インフラやコードの再利用といった直接的な技術的つながりがないとして、APT28への直接の帰属は行っていません。
防御の実務にとって、この違いが直ちに何かを変えるわけではありません。塞ぐべき穴は同じです。それでも、「ロシアの攻撃」と一括りにしてしまうと、どこまでが根拠を示された判断で、どこからが結論だけの判断なのかが見えなくなります。脅威インテリジェンスを読むときは、誰が、どの確度で、何を根拠にそう言っているのかを分けて受け取る姿勢が求められます。
MFAを有効にしていても残る経路がある
7月16日以降に確認された誘導先は、デバイスコード認証です。これはテレビやIoT機器のように、キーボードで入力しづらい端末のために用意された正規の認可の仕組みです。
攻撃者は自分の側で認証を開始し、そこで発行されたコードを利用者に入力させます。利用者が入力する先は本物のMicrosoftのサインインページで、URLもドメインも正しい。多要素認証を求められれば、利用者は自分の認証だと思って完了させます。そこで承認されるのは攻撃者のセッションであり、攻撃者側に認証済みのトークンが発行されます。多要素認証そのものが技術的に破られたわけではなく、利用者が正規の画面で攻撃者の認証を通してしまう構造です。
Microsoft自身は、この手口を「本質的に新しいものには見えない」と書いています。2024年8月以降、Midnight Blizzard周辺で繰り返し報告されてきました。新しいのは手口ではなく、置かれた文脈のほうです。Wi-Fiへの接続という「認証を求められて当然」の場面に埋め込まれたことで、利用者が違和感を持つ手がかりが減りました。
対策としてMicrosoftが挙げているのは、必要がなければ条件付きアクセスでデバイスコードフローそのものを止めることです。多くの環境で、この認証方式が業務上必要になる場面は限られます。
使われたツールと、モバイルへの兆候
CornFlakeは、Go言語で書かれたWindows向けの遠隔操作ツールです。実行されるとまず偽の進捗画面を表示し、その間に自分自身を利用者のプロファイル配下へ複製します。偽装画面はWindows Update風、Windowsセキュリティ風、DirectXインストーラー風など8種類が用意され、攻撃者がビルド時に選べます。常駐後はキー入力、クリップボード、画面、マイク、カメラを収集し、USBなどのリムーバブルメディアを検知してスキャンし、遠隔からコマンドを実行できます。サービス名は svchost32、表示名は「Cloud Sync Service」とされ、正規のクラウド同期ソフトのように見せかけています。
ChocoShellは、PowerShellで書かれた情報窃取ツールです。本体はMicrosoftによればメモリ上で配布・実行され、ブラウザのセッションCookie、保存パスワード、Microsoft 365のシングルサインオン用トークン、Wi-Fiの接続パスワードをまとめて持ち出します。処理の途中では一時ファイルやレジストリの変更も生じますが、最後にそれらを削除する処理が組み込まれています。管理者権限の取得には、Windows標準機能を悪用する手口を3種類、順に試す実装が入っています。
FruitStoneは攻撃者側の管理画面です。「CloudSync Console」を名乗り、防御側や事業者に見つかっても正規の企業向けクラウド管理ソフトに見えるよう作られています。感染端末を国とサブネット単位で並べて地図に表示し、新しいペイロードをその場で組み立てて配布できます。
標的はWindowsだけではない可能性があります。ClickFixの着地ページにはAndroid端末へAPKをインストールさせる手順も含まれており、Microsoftはモバイルへ展開する兆候として記載しています。確定的なAndroid感染が報告されたわけではありません。
AIの関与は、確かに書かれている。ただし範囲は限定的
Microsoftは、Storm-2945が作戦の相当部分にAIを活用していたと述べています。これとは別に、AIによるコード生成の可能性が具体的に指摘されているのが、ChocoShellのコードです。開発者コメントが完全な形で残っており、Microsoftのどの検知シグネチャを避けるために何をしたのかという判断理由まで書き込まれていました。コーディング規約の一貫性と説明の丁寧さから、その可能性が示されています。
ただし、どのモデルが、どの工程で使われたのかは公表されていません。調査にはAnthropicとOpenAIが協力していますが、協力の内容も明かされていません。「AIが攻撃を自動化した」と読み込むには、公開されている材料が足りません。
フルトンネルVPNはどこまで効くのか
ReliaQuestは、always-onのフルトンネルVPNを接続時に自動で確立し、トンネルが成立するまで通常のインターネット通信を許可しない構成を推奨しています。トンネル確立後はDNSを含む通信を企業側の信頼できる経路へ収容できるため、同社が観測したDNS偽装や認証通信の誘導に対しては強力な対策になります。
ただし、キャプティブポータル環境では事情が一段複雑です。VPNクライアントによっては、ポータルの利用規約への同意や認証を済ませるため、その通信だけをVPN確立前に例外的に許可します。この段階の通信はトンネルでは保護されません。そしてMicrosoftが7月31日に報告したCaptiveCrunchには、端末の接続確認通信を利用して偽の更新画面を表示し、ClickFixでマルウェアを実行させる経路も含まれています。
ReliaQuestの7月23日の調査は、主にDNS poisoningによる認証情報の窃取を扱っており、このClickFix経路までフルトンネルVPNで防げるかは検証されていません。VPNと利用者側の判断は、どちらかを選ぶものではありません。VPN確立前を含め、キャプティブポータルから突然提示された更新やコマンドを実行しないことも重要になります。
【関連記事】
Midnight Blizzard｜ロシア発ハッカー集団が新手法、RDP設定ファイルで1日200組織を攻撃
同じ系統の攻撃者による2024年の作戦。マルウェアを使わず、正規のRDP機能を悪用した手口について解説している。
APT29、ワイン招待状で欧州外交官を狙う新型マルウェア「GRAPELOADER」を展開
APT29が欧州の外交機関を狙った事例。同一系統の攻撃者が選ぶ標的の傾向と、実際に使われた手口がわかる。
StealCとClickFix：偽CAPTCHAから始まる多段階マルウェア攻撃の全貌
ClickFixを起点とする多段階の攻撃チェーンを分析した記事。今回の作戦と共通する手口の広がりを追える。
【編集部後記】
Microsoftがロシア対外情報庁系のStorm-2945に帰属させた作戦で、使われた4つのドメインの登録者情報には、同じGmailのアドレスが記録されていました。ReliaQuestが公開した指標に含まれています。
もっとも、公開されている登録情報から実際の運用者をたどれるわけではありません。暗号化されたC2通信やAI支援が疑われるコードの精度と、この登録の素朴さ。同じ作戦の両端を見ている感覚だけが残ります。
【用語解説】
キャプティブポータル
公衆Wi-Fiに接続した直後、インターネットに出る前に強制的に表示される認証・案内画面のこと。ホテルの部屋番号入力や利用規約への同意画面がこれにあたる。画面を出しているゲートウェイ機器は、接続した全端末の通信の出入口でもある。
Storm-2945
Microsoftが今回の作戦の実行主体として評価した攻撃者グループ。Midnight Blizzardの運用サブクラスターと位置付けられている。「Storm-」で始まる名称は、Microsoftの命名規則において、活動の帰属が確定していない段階の集団に用いられる暫定的な呼称である。
Midnight Blizzard
ロシアを拠点とする脅威アクター。APT29、Cozy Bear、NOBELIUMの別名でも追跡される。米英両政府がロシア対外情報庁（SVR）に帰属させている。政府機関、外交機関、NGO、ITサービス事業者を長期的な諜報の対象とする。
APT28（Forest Blizzard）
Midnight Blizzardとは別系統のロシア系脅威アクター。Fancy Bearの別名でも知られ、ロシア軍情報部と結び付けられてきた。今回の作戦について、ReliaQuestはこちらの手口との類似を指摘したが、直接の帰属は行っていない。
DNS
ドメイン名をIPアドレスに変換する仕組み。この対応表を書き換えられると、正しいURLを入力しても攻撃者のサーバへ接続してしまう。ゲートウェイを押さえた攻撃者は、接続した端末に対してこの変換結果を偽装できる。
ClickFix
偽のエラー画面や認証失敗画面を見せ、「修正するには以下の手順を実行してください」と案内して、利用者自身に不正なコマンドを実行させる手法。実行するのが本人であるため、自動的な検知をすり抜けやすい。
デバイスコード認証
キーボードのないテレビやIoT機器のために用意された、OAuthの正規の認可方式。表示されたコードを別の端末で入力して認証を完了させる。攻撃者が自分の側で認証を開始し、そのコードを利用者に入力させると、承認されるのは攻撃者のセッションになる。
RAT（Remote Access Trojan）
遠隔操作型のマルウェア。感染した端末でキー入力の記録、画面やカメラの取得、ファイルの持ち出し、任意のコマンド実行などを可能にする。今回はGo言語で書かれた「CornFlake」が使われた。
ChocoShell
今回使われたPowerShell製の情報窃取ツール。ブラウザのセッションCookie、保存パスワード、Microsoft 365のトークン、Wi-Fiの接続パスワードを持ち出す。本体はメモリ上で配布・実行され、処理中に生じたアーティファクトは実行後に削除される。
多要素認証（MFA）
パスワードに加えて、コードや生体情報など別の要素を求める認証方式。ただしデバイスコード認証を悪用された場合、利用者が正規の画面で認証を完了させるため、多要素認証を満たしたトークンが攻撃者側に発行される。
条件付きアクセス
Microsoft Entra IDの機能で、サインインの状況に応じてアクセスを許可・拒否・追加認証に振り分ける仕組み。特定の認証フローそのものを遮断する設定も可能で、今回の対策の中心に置かれている。利用にはMicrosoft Entra ID P1以上のライセンスが必要となる。
SSID
無線LANのネットワーク名。今回の作戦では偽のアクセスポイントを立てるのではなく、正規のSSIDの上流にあるゲートウェイが操作されている。ネットワーク名を確認するだけでは見分けられない。
ゼロトラスト
社内・社外という境界で信頼を判断せず、通信も端末も利用者も常に検証する設計思想。今回の作戦は、接続した経路そのものを信頼しないという考え方が出張という場面で問われた事例といえる。
【参考リンク】
Microsoft Security Blog（外部）
Microsoftの脅威インテリジェンス部門などが発信する公式ブログ。CaptiveCrunchを含む調査レポートが公開されている。
Microsoft Security Insider｜Midnight Blizzard（外部）
Midnight Blizzardの標的と手口を整理した、Microsoftによる日本語の解説ページ。過去の主要な作戦もたどれる。
Microsoft Learn｜認証フローのブロック（外部）
条件付きアクセスでデバイスコードフローを遮断する手順を示したMicrosoftの公式文書。監査と検証の進め方も記載されている。
Microsoft Learn｜Wi-Fi Policy CSP（外部）
MDMで許可していないWi-Fiへの手動接続を制限する、Windowsのポリシー設定を解説したMicrosoftの公式文書。
ReliaQuest Threat Research（外部）
米国のセキュリティ企業ReliaQuestの脅威リサーチ部門。7月23日、Microsoftに先行して同じインフラを報告した。
【参考記事】
DNS Poisoning Tactics Expand to Hospitality Wi-Fi（外部）
侵害されたゲートウェイの所在地や登録者情報など、Microsoftが公表していない指標を含む先行報告。対策の評価も異なる。
公衆Wi-Fiの接続案内画面を悪用した攻撃活動CaptiveCrunchについてまとめてみた（外部）
国内の視点で経緯と論点を時系列で整理した記事。帰属の根拠がどこまで示されたのかという点にも踏み込んで検証している。
SOHO router compromise leads to DNS hijacking and adversary-in-the-middle attacks（外部）
Microsoftが4月に公表したDNSハイジャック作戦。CaptiveCrunchと手口が似ており、帰属の比較対象となる。
Storm-2372 conducts device code phishing campaign（外部）
2025年2月に公表されたデバイスコードフィッシングの事例。今回Microsoftが帰属判断の根拠にも挙げた作戦である。
Hijacked Hotel Wi-Fi Pushes Fake Updates to Deliver Surveillance Malware（外部）
帰属がMicrosoftの評価にとどまり、独立した技術的な裏付けがまだ出ていない点を明示した英文の報道記事である。
えっ、公共Wi-Fiの接続画面が偽物？Microsoftが警告する恐るべき手口（外部）
国内の主要メディアによる報道。攻撃の概要と、公衆Wi-Fiを使う利用者が置かれている状況を簡潔にまとめた記事である。
