出張先のホテルでWi-Fiにつなぐ——その何気ない一手が、社内ネットワークへの入口になりうる。Microsoftは2026年7月31日、ホテルや会議場などの「キャプティブポータル」型Wi-Fiを乗っ取り、接続してきた利用者に偽のソフトウェア更新を配って端末を感染させるキャンペーンを公表した。同社はこれを「CaptiveCrunch」と名付け、ロシア対外情報庁（SVR）と結び付けられている攻撃者グループの下部組織によるものと評価している。攻撃は2026年5月上旬から複数の国で続いており、狙われているのは施設そのものではなく、そこに泊まる企業の出張者だ。
「最初に出てくるあの画面」が武器になる
キャプティブポータルとは、公衆Wi-Fiに接続したときに最初に表示される、利用規約への同意や部屋番号の入力を求めるあの画面のことだ。宿泊客を認証するための正規の仕組みだが、この仕組みを動かしているゲートウェイ機器は、接続した端末の通信の出入口そのものでもある。
Microsoftの分析によれば、攻撃者はこのゲートウェイの管理権限を握り、DNSとHTTPの通信を操作して、利用者の通信を攻撃者側のインフラへ迂回させていた。The Hacker Newsが伝えたセキュリティ企業ReliaQuestの調査では、被害を受けたネットワークでゲートウェイが接続端末に割り当てられるDNSリゾルバ（ドメイン名の名前解決を担うサーバー機能）も兼ねており、そこを押さえられればDNSの応答を自在に偽造できる状態だったという。
すり替えの入口として使われたのは、PCがWi-Fi接続直後に自動で行う「インターネットにつながっているか」の確認通信だった。本来は無言で終わるはずのこの通信が、ブラウザやOSの更新を促す偽の画面に化ける。利用者から見れば、ホテルのWi-Fiにつないだ直後に「更新が必要です」と表示されただけであり、疑う理由に乏しい。
感染には「利用者があと一手」動く必要がある
もっとも、この攻撃は接続しただけで感染するものではない。攻撃者のインフラが用意した画面は、いわゆるClickFix型の手口を多用している。「自動修復に失敗しました」といった体裁で、利用者自身にターミナルやWindowsの標準ツールを開かせ、提示されたコマンドを貼り付けて実行させる誘導だ。ファイルをダウンロードして実行させる古典的な形も併用されている。
Microsoftは、Androidを対象とした同様の誘導を示す痕跡も確認したとしている。誘導ページに、Android向けのアプリ導入ファイル（APKファイル）をインストールさせる手順が含まれていたためだ。
つまり、通信の乗っ取りは攻撃者が握っていても、最後の一歩は利用者の操作に依存している。裏を返せば、この一歩を踏ませないための教育と注意喚起は、有効な防御策になりうる。
盗まれるのは「パスワード」だけではない
実行されるマルウェアは複数ある。Microsoftが「CornFlake」と呼ぶGo言語製のWindows向けリモートアクセス型トロイの木馬は、実行されると偽の進捗ウィンドウで利用者の注意を引きつけながら、自身を `%APPDATA%` 配下にコピーし、「Cloud Sync Service」という表示名のWindowsサービスとして登録する。正規のクラウド同期ソフトを装う名付けだ。
その機能は、キー入力の記録、クリップボードの監視、スクリーンショットの取得、マイクとWebカメラによる録音・録画、ブラウザの保存パスワードやCookieの窃取、リムーバブルメディアの検知、遠隔からのコマンド実行にまで及ぶ。永続化の仕組みもサービス登録・レジストリ・タスクスケジューラと多重化されており、防御側が一つ消しても常駐ルーチンが復元する設計だという。
もう一つの「ChocoShell」は、ディスクに残さずメモリ上で動くPowerShell製の情報窃取ツールだ。狙いはより明確で、ブラウザのセッションCookie、保存パスワード、そしてMicrosoft 365やMicrosoft Entra IDのアクセストークン・リフレッシュトークン、Token Brokerのキャッシュに残る認証トークン（WAMトークン）である。`netsh` コマンドによるWi-Fi資格情報の収集も行う。
ここが実務上もっとも重い部分だろう。トークンを持ち出されるということは、多要素認証（MFA）を通過した「認証済みの状態」ごと持ち出されるということだ。パスワードを変えても、セッションを無効化しなければ攻撃者はログインし続けられる。
正規の認証フローが抜け穴になる
もう一つの経路として、Microsoftは7月16日以降、CaptiveCrunchの誘導ページの一部が「デバイスコード認証」の画面につながっていることを確認したとしている。
デバイスコード認証は、キーボードのないテレビやIoT機器のように通常のサインイン画面を出せない端末のために用意された、正規の認可の仕組み（OAuth）だ。攻撃者はこれを逆手に取り、自分の側で認証要求を開始したうえで、その場で発行されたコードを利用者に入力させる。利用者が入力する先は本物のMicrosoftのサインインページであり、URLもドメインも正しい。だが、そこで認証されるのは利用者自身のセッションではなく、攻撃者のセッションになる。
手口自体は2024年以降に報告されてきたもので、目新しさはない。ただ、ホテルのWi-Fi接続という「認証を求められて当然」の文脈に埋め込まれることで、利用者が違和感を持ちにくくなっている点は無視できない。
分かっていないことも、まだ多い
一方で、公表内容には慎重に読むべき余白がある。
キャプティブポータル網がどのように最初に侵害されたのか、初期侵入経路はMicrosoftの調査でも未解明のままだ。ただ同社は、被害を受けた複数のネットワークで機器や管理システムに共通点があったとし、個別の施設が別々に侵害されたのではなく、キャプティブポータルを支える共有サービスの一部に攻撃者が到達していた可能性を指摘している。もしそうであれば、影響範囲は「たまたま狙われたホテル」よりも広い。
被害を受けた施設名、ポータル機器のベンダー名は公表されていない。また、リダイレクトが実際に何件の侵害につながったのか、デバイスコードを承認してしまった利用者が何人いたのかといった数値も明らかにされていない。攻撃者グループの帰属についても、SVRとの関係が政府機関によって示されているのは上位のグループであり、今回のキャンペーンとの結び付けはMicrosoftによる評価だ。The Hacker Newsは、これを独立に裏付ける技術報告は公になっていないと指摘している。
出張の多い組織ほど、対策の優先度が上がる
この攻撃の厄介さは、狙われる場所が自社の管理下にないことだ。社内ネットワークをどれだけ固めても、社員がホテルでノートPCを開いた瞬間、防御の前提が崩れる。しかも被害に遭った側は「うちの会社が狙われた」とは気づきにくい。攻撃の足場にされているのは施設のWi-Fiであり、自社を名指しした攻撃の痕跡が残らないからだ。だが、そこで本当に狙われているのは、接続してきた出張者の端末と認証情報である。
Microsoftが挙げている対策は、いずれも特別な製品を必要としないものが中心だ。ホテル・空港・会議場のWi-Fiは信用しない前提に立ち、可能なら携帯回線やeSIMのデータ通信、あるいは社内インフラまで暗号化トンネルを張る出張用ルーターを使う。キャプティブポータル越しに提示される更新プログラム、証明書、ネットワーク診断ツール、セキュリティユーティリティの類は一切受け取らない。更新の要否はポップアップではなく、OS本来の更新機能で確かめる。
組織側では、デバイスコードフローを条件付きアクセスで原則ブロックし、必要な範囲だけ許可する。パスキーやフィッシング耐性のあるMFAへ移行する。サインインリスクに応じて自動的に再認証を強制する。そして、ゲストWi-Fiの登録画面に社用の認証情報を使い回さないよう周知する。ReliaQuestは、DNSクエリを施設のゲートウェイより先に社内のリゾルバへ流す常時オンのフルトンネルVPNを推奨しているという。
いずれも目新しい施策ではない。ただ、「出張中の端末」という抜けやすい一点に、これらが本当に適用されているかを確認した組織は、それほど多くないのではないか。