- Los ciberdelincuentes crean redes Wi-Fi gemelas en hoteles y muestran falsas actualizaciones para instalar malware.
- El grupo ruso Storm-2945, vinculado al SVR, está detrás de la operación CaptiveCrunch que ataca portales cautivos.
- El malware puede robar contraseñas, datos bancarios, capturar pantallas y tomar el control remoto del dispositivo.
- Usar una VPN y desconfiar de cualquier ventana de actualización inesperada son las principales recomendaciones.
Conectarse a la red Wi-Fi de un hotel se ha convertido en una práctica cotidiana para millones de viajeros, pero también en una puerta de entrada para los ciberdelincuentes. Dos informes recientes, uno de Microsoft y otro de investigadores independientes, alertan sobre una oleada de ataques dirigidos específicamente a huéspedes de hoteles y establecimientos de hostelería. La técnica, conocida como «gemelo malvado» o evil twin, combina la suplantación de redes legítimas con ventanas de actualización falsas para engañar a los usuarios y robarles información sensible.
El equipo de inteligencia de amenazas de Microsoft ha identificado una operación bautizada como «CaptiveCrunch», ejecutada por el grupo Storm-2945, un subgrupo de Midnight Blizzard vinculado al Servicio de Inteligencia Exterior ruso (SVR). Según el comunicado, los atacantes manipulan el tráfico de internet de los portales cautivos de los hoteles para redirigir a los usuarios hacia páginas de inicio de sesión falsas o ventanas emergentes fraudulentas. El objetivo es que la víctima descargue un archivo malicioso que, una vez instalado, permite a los hackers tomar el control remoto del dispositivo y robar todo tipo de datos personales.
El modus operandi: redes gemelas y actualizaciones falsas
El ataque comienza cuando el viajero busca conectarse a la red Wi-Fi del hotel. Los delincuentes crean un punto de acceso gemelo con el mismo nombre que la red oficial, sin necesidad de gran habilidad técnica: solo un portátil y software de código abierto. Al conectarse, el navegador muestra una ventana que imita a la perfección un aviso del sistema operativo, como una supuesta actualización de Windows, un análisis de seguridad de Windows Security o un instalador de DirectX. El usuario, confiado, pulsa en «instalar» y descarga un troyano que registra cada pulsación, captura contraseñas, documentos, cookies del navegador e incluso puede grabar audio y vídeo o tomar capturas de pantalla.
Microsoft detalla que entre las tácticas más peligrosas se encuentra la redirección a portales de inicio de sesión que imitan la plataforma de Microsoft 365. Si la víctima introduce sus credenciales, los atacantes obtienen acceso directo al correo electrónico y a los archivos almacenados en OneDrive, ampliando el alcance del robo. Además, los mensajes falsos pueden simular comprobaciones de conectividad similares a las advertencias de Google sobre tráfico inusual, lo que aumenta la sensación de urgencia y reduce la sospecha.
Storm-2945: el grupo ruso detrás de la amenaza
La operación CaptiveCrunch no se limita a una región concreta. Microsoft advierte que los ataques tienen un alcance global y afectan a cualquier persona que se conecte a redes Wi-Fi de hoteles, centros de conferencias o aeropuertos. El grupo Storm-2945 actúa como subgrupo de Midnight Blizzard, conocido por estar respaldado por el Servicio de Inteligencia Exterior ruso. Los investigadores señalan que los atacantes aprovechan la familiaridad de los usuarios con las pantallas y mensajes habituales del sistema operativo y los navegadores para reducir la sospecha y aumentar la tasa de éxito del ataque.
En muchos casos, las víctimas no perciben inmediatamente que han sido estafadas. Las ventanas falsas reproducen fielmente los elementos visuales de Windows, Google y otras plataformas, por lo que el usuario cree que está realizando una acción legítima. Una vez que el malware está instalado, los ciberdelincuentes pueden registrar pulsaciones de teclas, capturar imágenes de pantalla, grabar audio y vídeo, monitorizar el portapapeles y tomar el control remoto del dispositivo. La información robada incluye contraseñas, datos bancarios, documentos personales y cualquier otro dato almacenado en el equipo.
Cómo protegerse al conectarse a redes de hotel
Ante la proliferación de estos ataques, tanto Microsoft como los expertos en ciberseguridad recomiendan extremar las precauciones. Lo primero es priorizar el uso de conexiones privadas, como los puntos de acceso Wi-Fi móvil o los datos del teléfono, siempre que sea posible. Si no hay alternativa, hay que desconfiar de cualquier solicitud inesperada para descargar actualizaciones de software, certificados, navegadores o herramientas de diagnóstico de red, especialmente cuando aparecen a través de portales cautivos o ventanas emergentes mientras se intenta acceder a la red.
Otra recomendación clave es evitar introducir datos sensibles en portales de inicio de sesión que no sean de confianza o que presenten irregularidades en su diseño. Las páginas falsas suelen imitar a las originales, pero cambian una letra en la URL o utilizan una terminación diferente. Verificar el dominio antes de ingresar credenciales puede evitar un disgusto. Además, es fundamental configurar las reglas de seguridad y privacidad de sus cuentas y activar una VPN de confianza que cifre la conexión y dificulte que los atacantes intercepten el tráfico, incluso si la red está comprometida.
Los hoteles y las organizaciones también tienen su parte de responsabilidad. Microsoft insta a las empresas a instruir a sus empleados sobre los riesgos asociados al uso de redes de huéspedes y a revisar cuidadosamente la información que se proporciona a los proveedores de servicios de hostelería. La concienciación y la formación son herramientas esenciales para reducir el impacto de estas amenazas, que cada vez son más sofisticadas y difíciles de detectar.
La próxima vez que te conectes al Wi-Fi de un hotel, piensa si ese «parche gratuito» o esa «actualización urgente» merecen el riesgo de perder tu cuenta bancaria o tu identidad digital. La seguridad empieza por desconfiar de lo que parece demasiado familiar y por tomar medidas sencillas como usar una VPN o compartir los datos del móvil en lugar de arriesgarte con una red abierta. Los ciberdelincuentes no descansan, pero con precaución e información es posible viajar sin poner en peligro tus datos.
