ニュース

出張先のホテルWi-Fiが罠に——ロシア系APT「CaptiveCrunch」攻撃の全手口と情シスが今すぐ取るべき対策

2026.08.05

はじめに

マイクロソフトは2026年7月31日、ロシア対外情報庁（SVR）に帰属するAPTグループ「Midnight Blizzard」のサブクラスター Storm-2945 による世界規模の攻撃キャンペーン「CaptiveCrunch」を公表しました。この攻撃は、ホテルや会議施設などのキャプティブポータル付き公衆Wi-Fiを悪用し、接続ユーザーのPCに高機能マルウェアを感染させるものです。出張中の社員が使うWi-Fiが”罠”に変わっている可能性があります。情シス担当者はすぐに対策を講じてください。

1. 何が起きたか

Microsoft Threat Intelligence が世界規模の攻撃を警告

マイクロソフトの脅威インテリジェンスチームは2026年7月31日、「CaptiveCrunch」と命名した攻撃キャンペーンの詳細を公表しました。これは2026年5月初旬から観測が始まった、Midnight Blizzardの下位クラスター Storm-2945 による組織的サイバー攻撃です。

Storm-2945 はホテル・会議施設・空港などの公衆Wi-Fiを管理するキャプティブポータルネットワークに侵入し、DNS/HTTPトラフィックを改ざんして接続ユーザーを攻撃者制御のサーバーへ誘導します。

対象・影響範囲

項目 内容
攻撃者 Storm-2945（Midnight Blizzard / SVR 帰属）
初確認 2026年5月上旬
標的 世界各地のホテル・会議施設・共有会場のWi-Fi利用者
目的 マルウェア感染・認証情報窃取・企業クラウド環境への侵害
現状 継続中（2026年8月5日時点）

マイクロソフトは「複数の国にわたるホテル・キャプティブポータル機器の広範な侵害を確認した」と述べており、特定のホテルチェーンやサービス事業者を横断した侵害の可能性も示唆しています。

2. 攻撃の仕組み——3段階で社用PCを乗っ取る

ステップ1：キャプティブポータルの乗っ取り

出張先のホテルWi-Fiに接続すると、多くの場合「利用規約への同意」や「ログイン」を求めるキャプティブポータル画面が表示されます。Storm-2945 はこのキャプティブポータルを提供するネットワーク機器・管理システムに侵入し、DNS/HTTPトラフィックを改ざんします。

ブラウザが行うネットワーク疎通確認（NCSI: Network Connectivity Status Indicator）のレスポンスを書き換え、ユーザーを攻撃者のサーバーへリダイレクトします。

ステップ2：ClickFix でマルウェアをダウンロードさせる

リダイレクト先の偽ページでは、ClickFix と呼ばれるソーシャルエンジニアリング手法が使われます。具体的には：

  • 偽のWindowsアップデート画面（「更新中…コンピューターをオフにしないでください」）
  • 偽のドライバー修復ツール（手順に従ってWindowsターミナルでスクリプト実行を指示）
  • 偽のブラウザアップデート
  • 偽の証明書インストール

ユーザーが指示に従って操作すると、マルウェア「CornFlake」がダウンロード・実行されます。

ステップ3：CornFlake・ChocoShell が企業情報を根こそぎ奪う

感染後、2種類のマルウェアが連携して動作します。

CornFlake（Go製 フルフィーチャーRAT）

機能 詳細
永続化 Windowsサービス（svchost32 / 表示名「Cloud Sync Service」）、レジストリRunキー、スケジュールタスクで多重永続化
キーロギング すべてのキーストローク（パスワードフィールド含む）を記録
画面・音声・映像キャプチャ スクリーンショット、マイク録音、Webカメラ映像取得
ブラウザ認証情報窃取 Chrome ABE（App-Bound Encryption）バイパスを含む Cookie・パスワード抽出
ファイル持ち出し 文書・コード・メール・暗号鍵等のファイルをリアルタイム監視・窃取
USBドライブ監視 挿入されたリムーバブルメディアを即時スキャン
リモートシェル cmd.exe / PowerShell による任意コマンド実行

ChocoShell（PowerShell製 インフォスティーラー）

ChocoShell は管理者権限取得のため3種のUACバイパスを試み、昇格後に以下を窃取します：

  • Chrome・Edge・Brave・Firefox 等のブラウザCookie・保存パスワード
  • Microsoft 365 SSOトークン（.tbres ファイル）
  • Entra IDアクセストークン・リフレッシュトークン
  • Wi-Fi認証情報（netsh wlan show profile key=clear で取得）

M365 SSOトークンを盗まれると、ブラウザCookieなしでも攻撃者はM365環境にアクセスし続けることができます。

3. 追加の脅威——デバイスコードフィッシング

2026年7月16日以降、一部のキャプティブポータルリダイレクト先ではデバイスコードフィッシングも確認されています。

ユーザーは「Microsoftのサインインページ」として、攻撃者が生成したデバイスコードを正規のMicrosoft認証ページに入力するよう誘導されます。入力すると、攻撃者のセッションが認証され、企業のEntra ID環境への不正アクセスが成立します。

この手法はMidnight Blizzardが2024年8月以降継続して使用しており、キャプティブポータルとの組み合わせによってユーザーが「本物のMicrosoft認証」と誤認しやすくなっています。

4. 情シスが今すぐ取るべき対策

従業員への周知徹底

  1. 出張時の公衆Wi-Fi利用を禁止または制限する — ホテル・空港・会議施設のWi-Fiは信頼できないと扱うよう徹底してください。モバイルホットスポット・社用LTEルーターの利用を推奨してください。
  2. キャプティブポータルでのソフトウェアインストール・スクリプト実行を禁止する — Wi-Fi接続時にアップデートや証明書インストールを求めるポップアップは、すべて無視するよう教育してください。

エンドポイント保護の強化

  1. EDR/EPP が最新状態であることを確認する — Microsoft Defender for Endpoint は CornFlake・ChocoShell を検出します。EDRの稼働状況を今すぐ確認してください。
  2. ClickFix 対策として PowerShell / cmd 実行制御を見直す — Windows Defender Application Control（WDAC）またはAppLockerでスクリプトホスト（powershell.exe、cmd.exe、mshta.exe、rundll32.exe）の実行を制限してください。

Entra ID / Microsoft 365 の設定強化

  1. デバイスコードフローを必要な場合のみ許可する（原則ブロック） — 条件付きアクセスポリシーで urn:ietf:params:oauth:grant-type:device_code を制限してください。
  2. フィッシング耐性のあるMFAを導入する — パスキーまたはFIDO2セキュリティキーを優先管理者アカウントに適用し、SMS・メール認証コードを廃止してください。
  3. サインインリスクポリシーを設定する — Entra ID Protectionの「リスクの高いサインイン」ポリシーで自動ブロックまたは強制MFAを設定してください。
  4. Global Secure Access（Microsoft SSE）を検討する — 出張中の社員も含め、ゼロトラストネットワークアクセスを適用することで、信頼されていないネットワーク経由のトラフィックを保護できます。

Microsoft Sentinel / Defender XDR での検知設定

Microsoft Defender XDR をご利用の場合、以下の侵害指標（IoC）で検知を設定できます：

  • Wi-Fi接続後2分以内のファイルダウンロードの検知（NCSI実行直後のファイル作成）
  • Storm-2945 インフラへの通信の検知（IP: 31.57.243.154、213.145.86.112 等）
  • CornFlake RATの存在確認（%APPDATA%\svchost32\svchost32.exe）

5. まとめ

CaptiveCrunch は「ホテルのWi-Fiは安全」という先入観を逆用した、非常に巧妙な攻撃です。接続するだけでマルウェアに感染するリスクがあり、感染後はM365環境・社内ファイル・音声・映像まで根こそぎ奪われます。

情シス担当者として最優先で取り組むべきは、出張時のWi-Fi利用ポリシーの見直しとEntra IDのデバイスコードフロー制限です。また、社内のエンドポイント保護（EDR）が確実に稼働していることを今一度確認してください。YJKでは引き続き最新情報をお伝えします。

YJKにセキュリティ対応を相談する

出典

𝕏 でシェアする
ニュース一覧に戻る