Wi-Fi de hotel virou armadilha: DNS poisoning captura credenciais corporativas de executivos em viagem

Uma campanha ampla de DNS poisoning identificada pela ReliaQuest está transformando roteadores de Wi-Fi de hotéis, centros de convenções e outros ambientes com portais cativos em armadilhas para credenciais corporativas de funcionários que viajam. Dispositivos comprometidos já foram encontrados em várias cidades dos EUA, na Índia e na Arábia Saudita — e o alvo primário são executivos e técnicos de empresas que se conectam à rede do estabelecimento acreditando estar em um ambiente inofensivo.

O que aconteceu

Analistas da ReliaQuest divulgaram em 23 de julho de 2026 uma investigação sobre uma operação criminosa em curso que sequestra a infraestrutura de rede da hospitalidade para roubar credenciais corporativas. O ataque começa antes de o funcionário sequer chegar ao hotel: os invasores comprometem os roteadores usados para prover Wi-Fi público a hóspedes e visitantes. A partir daí, todo o tráfego HTTP e DNS dos convidados passa a ser manipulado.

O acesso inicial aos equipamentos, segundo a ReliaQuest, é obtido por vetores conhecidos e mal fechados: interfaces de gerenciamento expostas na internet (SSH, SNMP e consoles web de administração) e credenciais de administrador fracas ou reutilizadas em vários dispositivos. Uma vez dentro do roteador, o atacante altera a configuração de DNS para redirecionar consultas de domínios legítimos para servidores sob seu controle.

O efeito para o usuário é praticamente invisível. Ao acessar o webmail corporativo, o SSO, o painel do Microsoft 365, o Google Workspace ou serviços financeiros, o navegador é direcionado a páginas clonadas que capturam usuário e senha antes de repassar o tráfego ao destino real ou simplesmente exibir uma tela de erro genérica. Sem indicadores óbvios, a vítima continua trabalhando normalmente enquanto suas credenciais são exfiltradas.

Como o ataque funciona

O ponto de compromisso é sempre o mesmo: o gateway de rede que oferece o Wi-Fi. Em hotéis e centros de eventos, esses equipamentos costumam vir de um pequeno conjunto de fabricantes que também operam a solução de portal cativo. A administração remota geralmente fica a cargo do fornecedor do serviço, o que ajuda a explicar como as mesmas configurações vulneráveis aparecem em múltiplas propriedades sem relação entre si.

Com o roteador comprometido, o DNS poisoning é o mecanismo mais escalável para o atacante: em vez de precisar interceptar tráfego TLS ou instalar malware nos dispositivos dos hóspedes, basta responder consultas com IPs falsos. Quando a vítima digita o domínio do e-mail corporativo, a resposta vem envenenada, o navegador se conecta a um servidor imitando o serviço original e a página de login é servida sem que o certificado sequer entre em cena — ou com um certificado emitido para um domínio parecido, muitas vezes suficiente para enganar quem estiver com pressa.

“Os dispositivos comprometidos que investigamos eram appliances usados principalmente em hotéis e outras organizações que operam serviços de Wi-Fi cativo. Porém, qualquer operador de rede com portal cativo — aeroportos, centros de convenções, coworkings, universidades, unidades de saúde e casas de eventos — enfrenta uma superfície de ataque estruturalmente semelhante”, alertou a equipe da ReliaQuest.

Segundo a pesquisa, o modus operandi observado não é característico de um único grupo especializado e sim de uma tática que tem se popularizado entre agentes financeiramente motivados, com objetivo claro de revender ou monetizar as credenciais capturadas — em mercados underground ou como acesso inicial vendido a operadores de ransomware.

Quem está na mira

A campanha revela um perfil de vítima muito específico: colaboradores que viajam a trabalho e se conectam a redes de terceiros com o mesmo laptop que usam no escritório. Os alvos favoritos são:

• Executivos e vendedores em rotas frequentes de viagem entre grandes centros.
• Consultores e prestadores de serviço que passam semanas em clientes fora da própria cidade.
• Times de campo hospedados em hotéis próximos a projetos, obras ou plantas industriais.
• Participantes de conferências, feiras e treinamentos com Wi-Fi coletivo.
• Coworkings compartilhados por múltiplas empresas sem segregação de rede.

O foco em cidades dos EUA, Índia e Arábia Saudita não é coincidência: são polos de eventos corporativos internacionais, com fluxo constante de executivos ligados a tecnologia, energia, finanças e governo. Mas nada impede que a mesma técnica esteja rodando em silêncio em roteadores no Brasil — a superfície é idêntica.

Análise

O ataque combina três problemas antigos de segurança de infraestrutura em uma única cadeia altamente eficaz: gestão frouxa de equipamentos de rede da hospitalidade, dependência de DNS como fonte de verdade e a persistente ilusão de que “usar VPN só quando precisar” é seguro. A engenhosidade do vetor está em atacar o elo que o usuário não escolheu — o roteador do hotel — em vez do dispositivo, do sistema operacional ou do serviço em nuvem. Isso torna as defesas tradicionais de endpoint praticamente inúteis: o antivírus não vê, o EDR não vê, e o SSO corporativo enxerga apenas um login “bem-sucedido” a partir de um IP residencial ou empresarial qualquer.

A campanha também conversa com uma tendência mais ampla de 2025-2026: o retorno em força de ataques de infraestrutura contra dispositivos de borda subgeridos. Roteadores de operadoras, gateways de VPN, câmeras IP e appliances de hospitalidade se transformaram no ponto de entrada preferido de operações financeiramente motivadas justamente porque escapam do escopo dos programas de patching corporativo. Para times de segurança brasileiros, especialmente aqueles que já habituaram a força de trabalho ao home office e viagens frequentes, o AgentForger do Wi-Fi público é um lembrete de que o perímetro sumiu — e que precisa ser reconstruído em software no próprio endpoint.

Recomendações práticas

• Exigir VPN corporativa sempre-ligada em laptops fora do escritório, com bloqueio de tráfego caso o túnel caia.
• Ativar DNS-over-HTTPS ou DNS-over-TLS em endpoints e navegadores para neutralizar o envenenamento no roteador local.
• Adotar MFA resistente a phishing (chaves FIDO2/WebAuthn) em todas as contas corporativas e no SSO, tornando a captura de senha isolada praticamente inútil.
• Desabilitar conexão automática a redes Wi-Fi abertas em dispositivos gerenciados via MDM.
• Treinar equipes que viajam para nunca inserir credenciais logo após entrar em uma rede desconhecida — abrir o navegador só depois que a VPN estiver conectada.
• Habilitar detecção de credenciais reutilizadas e monitorar logins em endereços IP suspeitos ou países fora do padrão do usuário.
• Para operadores de portal cativo: revisar credenciais de administração dos roteadores, fechar interfaces de gerenciamento na WAN, aplicar atualizações e segmentar a rede de hóspedes da rede corporativa do estabelecimento.
• Consumir os IOCs publicados pela ReliaQuest no SIEM e caçar conexões suspeitas correlacionadas com viagens recentes de executivos.

Fonte: Infosecurity Magazine