En lo que parece ser una campaña de robo de credenciales patrocinada por un Estado, un grupo de intrusos de red ha estado atacando puertas de enlace Wi-Fi en hoteles, centros de convenciones y otros espacios compartidos para secuestrar las cuentas de viajeros corporativos.
Una vez que los actores de la amenaza toman el control de la puerta de enlace Wi-Fi, redirigen discretamente a los usuarios hacia una infraestructura controlada por los atacantes para robar sus credenciales, según un informe de ReliaQuest, una empresa global de operaciones de seguridad y automatización de respuesta ante amenazas.
De acuerdo con ReliaQuest, esta actividad se ha estado produciendo desde al menos junio de 2026.
Los dispositivos comprometidos investigados por ReliaQuest eran equipos utilizados principalmente en hoteles y otras organizaciones que ofrecen servicios Wi-Fi con portal cautivo, según explicó el informe elaborado por los investigadores Alexander Capraro, Jalen Vaughn, Daxton Wirth, Austin Ritchie y Connor Short.
Los investigadores señalaron, con un nivel de confianza de «bajo a medio», que es probable que los atacantes obtuvieran el acceso inicial a través de interfaces de gestión expuestas, combinadas con credenciales administrativas débiles o reutilizadas, aunque la visibilidad limitada de los dispositivos comprometidos les impidió confirmar dicha evaluación.
Esta metodología sería coherente con los patrones de ataque a puertas de enlace y envenenamiento de DNS documentados en informes recientes sobre una campaña vinculada a APT28 conocida como «FrostArmada», indicó el informe.
FrostArmada, una campaña de ciberespionaje vinculada al grupo de amenazas ruso Forest Blizzard —también conocido como APT28 y Fancy Bear—, secuestraba la configuración DNS de enrutadores comprometidos para redirigir el tráfico de autenticación y robar credenciales de Microsoft y tokens OAuth. La campaña fue desmantelada en abril de 2026 mediante una operación conjunta en la que participaron fuerzas del orden y socios del sector privado.
El informe explicaba que, una vez que el atacante comprometía los dispositivos de puerta de enlace, modificaba sus configuraciones y utilizaba el envenenamiento de DNS para redirigir el tráfico web habitual, canalizando las conexiones a dominios legítimos a través de una infraestructura controlada por el atacante.
Ataque sigiloso.
«Los hoteles y centros de convenciones no son objetivos aleatorios», observó James Edwards, director sénior de ingeniería de Keeper Security, una empresa de gestión de contraseñas y almacenamiento en línea con sede en Chicago.
«Se trata de entornos donde altos ejecutivos, equipos legales, profesionales financieros y otros empleados corporativos de alto valor se conectan habitualmente a redes Wi-Fi compartidas sin pensárselo dos veces», declaró.
«Una sola puerta de enlace comprometida en una importante conferencia del sector otorga al atacante acceso a cientos —o incluso miles— de dispositivos corporativos pertenecientes a diversas organizaciones», explicó. «La economía de la infraestructura es extraordinaria».
«Lo que hace que esta campaña sea particularmente peligrosa es que opera totalmente al margen de la percepción del usuario», continuó. «Cuando un atacante toma el control de la puerta de enlace, no necesita tocar ni un solo dispositivo final, enviar ni un solo correo de *phishing* ni instalar ni una sola pieza de *malware*».
«El envenenamiento de DNS redirige el tráfico de forma silenciosa», añadió. «El usuario navega con normalidad, introduce sus credenciales como siempre y no tiene motivos para sospechar que algo va mal».
Una técnica de ataque preocupante.
Estos ataques son cada vez más frecuentes, señaló Denis Calderone, director y CTO de Suzu Labs, un proveedor de servicios de ciberseguridad basados en inteligencia artificial con sede en Las Vegas.
«Básicamente, se trata del mismo *modus operandi* que utilizó el grupo APT28 con 18.000 routers domésticos en la campaña FrostArmada el pasado mes de abril», declaró. «En este caso, el atacante tiene como objetivo puertas de enlace Wi-Fi legítimas de hoteles».
Un aspecto especialmente preocupante de la campaña es el uso indebido de la autenticación mediante código de dispositivo, proceso en el que se redirige al usuario a lo que parece ser una solicitud de autorización legítima de Microsoft.
«Si el usuario lo aprueba, en realidad está autorizando una sesión iniciada por el atacante», afirmó. «Microsoft emite un token OAuth válido para el cliente del atacante, y ese token ya cuenta con la verificación MFA superada. No se roban credenciales. No se interceptan tokens. Se elude el MFA por completo».
«La autenticación mediante código de dispositivo se diseñó para dispositivos con limitaciones de entrada, como televisores inteligentes y pantallas de salas de conferencias, pero está habilitada por defecto en el servicio Entra ID de Microsoft; muchas empresas nunca la han desactivado porque desconocen su existencia», explicó.
Recomendó deshabilitar el servicio mediante el Acceso condicional para todos los usuarios, excepto para el reducido número de cuentas de servicio o grupos de dispositivos que realmente lo necesiten.
Un ataque largamente previsto se hace realidad.
«Lo que más me sorprende no es la técnica, sino los plazos», señaló Larry Pesce, vicepresidente de servicios de Finite State —empresa con sede en Columbus, Ohio, que automatiza el análisis y el cumplimiento de la seguridad para fabricantes de dispositivos conectados—.
«Los investigadores de seguridad llevan casi una década demostrando y advirtiendo sobre este tipo exacto de ataque», declaró. «La novedad aquí no es el método, sino que por fin tenemos pruebas a gran escala y en entornos reales de que actores de amenazas están llevándolo a la práctica».
«La brecha entre ‘sabemos que esto es posible’ y ‘podemos demostrar que está ocurriendo’ acaba de cerrarse, y eso debería preocupar a cualquiera que viaje por motivos de trabajo», afirmó.
Añadió que puede resultar valioso comprender quiénes son los actores de amenazas detrás de esta campaña.
«Si se trata de APT28 o de un grupo de su misma órbita, el cambio interesante reside en a quiénes atacaron», observó. «Históricamente, grupos como este han actuado de forma quirúrgica, redirigiendo únicamente el tráfico que coincidía con palabras clave u objetivos específicos. Lo que describen los investigadores en este caso es lo contrario: una redirección no selectiva que capturaba a cualquiera que se conectara».
«La conclusión no debe ser ‘no soy lo suficientemente importante como para ser un objetivo'», advirtió. «En una red compartida y comprometida, la importancia se determina a posteriori. Primero entregas la credencial y, más tarde, otra persona decide cómo monetizarla o utilizarla como arma».
«Por eso mismo la higiene de seguridad es importante para todos, no solo para los ejecutivos y los puestos de alto riesgo evidentes», agregó. «La persona que asume que no vale la pena ser un objetivo suele representar la vía de acceso más fácil».
Cambio en la estrategia de selección de objetivos.
Seemant Sehgal, director ejecutivo y fundador de BreachLock —una empresa de pruebas de penetración con sede en Nueva York—, sostuvo que la campaña no dependió tanto de técnicas sofisticadas como de prácticas de seguridad deficientes en las puertas de enlace atacadas.
«El fallo aquí radica en que dichas puertas de enlace eran accesibles mediante credenciales que podían verse comprometidas y en que los sistemas de monitoreo existentes no detectaban los cambios de configuración», declaró.
Edwards, de Keeper Security, reconoció que los ataques basados en DNS no son nuevos, pero añadió que históricamente requerían acceso a la infraestructura de nivel superior o el compromiso de dispositivos individuales.
«Lo que ha cambiado es el modelo de selección de objetivos», explicó. «Atacar puertas de enlace de red compartidas en lugares de gran afluencia convierte un único punto de vulnerabilidad en un multiplicador de fuerza: un solo router permite acceder simultáneamente a cientos de dispositivos corporativos pertenecientes a decenas de organizaciones».
Convertir la confianza en un arma.
«Esa expansión, que va desde las redes domésticas y de pequeñas empresas hasta los entornos del sector hotelero y de servicios por los que transitan a diario los empleados corporativos, supone un cambio significativo tanto en quiénes están expuestos como en la escasa antelación con la que reciben alertas», señaló.
«Lo que esta campaña pone de manifiesto, más allá de cualquier técnica específica, es hasta qué punto los atacantes han aprendido a utilizar la confianza como arma», argumentó.
«Se confía en la red del hotel porque es el propio hotel quien la proporciona», observó. «Se confía en la solicitud de inicio de sesión de Microsoft porque su aspecto es totalmente auténtico. Se confía en la autorización OAuth porque, técnicamente, es legítima».
«Ninguna de estas suposiciones es válida en un entorno donde la propia infraestructura ha sido comprometida», continuó. «La verdadera lección aquí no es que haya surgido una nueva técnica de ataque, sino que el perímetro en el que las organizaciones creían operar deja de existir en el instante en que un empleado se conecta a una red que no controlan».
«Las organizaciones que salen indemnes de este tipo de campañas son aquellas que ya han dejado de otorgar confianza implícita a infraestructuras que no les pertenecen», añadió. «No es un principio nuevo; es simplemente algo que el sector hotelero —y las empresas cuyos empleados frecuentan estos entornos— ya no pueden permitirse posponer».
Según ReliaQuest, las organizaciones pueden reducir considerablemente su exposición exigiendo que los dispositivos corporativos utilicen VPN de túnel completo y conexión permanente, las cuales dirigen las solicitudes DNS a través de una infraestructura corporativa de confianza antes de que lleguen a las puertas de enlace de hoteles o centros de convenciones.
