giovedì 6 agosto 2026
Collegarsi alla rete Wi-Fi di un albergo è diventato un gesto automatico. Si apre il computer, si seleziona il nome della struttura, compare una pagina di accesso e, dopo qualche secondo, si torna online. Proprio questa abitudine viene ora sfruttata dallo spionaggio russo per colpire diplomatici, funzionari pubblici, dirigenti d’azienda e professionisti in viaggio. Microsoft Threat Intelligence ha scoperto una vasta operazione informatica denominata “CaptiveCrunch”, attribuita a un gruppo di hacker collegato a Midnight Blizzard, una delle sigle dietro le quali agiscono gli specialisti informatici del Servizio di intelligence estero della Federazione Russa, l’Svr. La campagna sarebbe iniziata nel febbraio 2026 e avrebbe coinvolto reti utilizzate da alberghi, centri congressi e altre strutture frequentate da viaggiatori in diversi Paesi. La forza dell’operazione risiede nella sua apparente normalità. Gli hacker non si limitano a inviare una e-mail sospetta o un collegamento palesemente ingannevole. Si inseriscono nel momento in cui l’utente tenta di accedere alla rete dell’albergo. La pagina di benvenuto del Wi-Fi, quella sulla quale si accettano le condizioni del servizio o si inserisce il numero della stanza, può essere manipolata e trasformata in una trappola. Il viaggiatore crede di comunicare con il sistema dell’hotel, mentre una parte del traffico viene deviata verso infrastrutture controllate dagli aggressori.
A quel punto può comparire sullo schermo una richiesta apparentemente innocua: aggiornare il browser, installare un certificato di sicurezza, correggere un problema di connessione o eseguire una verifica del sistema. Sono operazioni che molti utenti, soprattutto quando hanno fretta di collegarsi, possono considerare normali. La schermata è credibile, il contesto è quello giusto e il messaggio sembra provenire dalla rete dell’albergo. In alcuni casi la vittima viene persino invitata a copiare un comando e a eseguirlo sul proprio computer per “riparare” la connessione. In realtà, è lo stesso utente a installare il programma che consentirà agli hacker di controllare il dispositivo. Una volta entrato nel computer, il malware può registrare ciò che viene digitato sulla tastiera, leggere gli appunti, fotografare lo schermo, cercare documenti, intercettare le chiavette Usb e, nei casi più gravi, attivare microfono e webcam. Può inoltre sottrarre password, cookie e credenziali conservate nei browser. Particolarmente preziosi sono i cosiddetti token di sessione, piccoli codici digitali che dimostrano che un utente ha già effettuato l’accesso a un servizio. Impadronendosi di questi token, gli aggressori possono talvolta entrare nella posta elettronica, nei sistemi cloud o nelle piattaforme aziendali senza dover conoscere la password e senza ripetere l’intera procedura di autenticazione. È qui che un singolo computer infetto può trasformarsi nella porta d’ingresso verso un’intera organizzazione. Il portatile di un funzionario non contiene soltanto documenti personali.
Può custodire le chiavi di accesso a reti ministeriali, caselle di posta istituzionali, archivi riservati e sistemi utilizzati da colleghi e collaboratori. La scelta degli alberghi, dunque, non è casuale. Diplomatici, militari, manager e funzionari possono essere molto protetti quando lavorano nelle proprie sedi, ma diventano più vulnerabili durante una trasferta. Fuori dall’ufficio utilizzano reti sulle quali la propria organizzazione non esercita alcun controllo, spesso mentre consultano messaggi urgenti, scaricano documenti o partecipano a riunioni online. Per i servizi russi è molto più semplice colpire un obiettivo in questo momento di esposizione che tentare un attacco diretto contro una rete governativa o aziendale ben difesa. Non occorre sfondare la porta principale della fortezza. Basta aspettare che qualcuno esca portando con sé le chiavi. Microsoft non ha ancora stabilito con certezza come siano state compromesse le diverse reti coinvolte. Un’ipotesi è che gli hacker siano riusciti a penetrare nei sistemi di un fornitore utilizzato da più alberghi. Se fosse confermata, significherebbe che una sola violazione potrebbe avere consentito agli aggressori di controllare contemporaneamente numerose strutture, moltiplicando il numero delle potenziali vittime. CaptiveCrunch utilizza anche tecniche di phishing particolarmente sofisticate.
In alcuni casi, l’utente viene indirizzato verso una vera pagina Microsoft e invitato a inserire un codice. Il sito è autentico, ma il codice è stato predisposto dagli hacker. Completando la procedura, la vittima finisce per autorizzare inconsapevolmente l’accesso degli aggressori. L’operazione mostra inoltre come l’intelligenza artificiale stia diventando uno strumento sempre più utile anche per i servizi di intelligence. Microsoft ritiene che sia stata impiegata per accelerare la scrittura del codice, migliorare i messaggi ingannevoli e adattare rapidamente gli attacchi alle contromisure adottate dai sistemi di sicurezza. Non è l’intelligenza artificiale a condurre autonomamente lo spionaggio, ma può rendere più veloce, economico ed efficace il lavoro degli operatori. La scoperta impone di considerare le reti Wi-Fi pubbliche con maggiore prudenza. Alberghi, aeroporti e centri congressi non sono necessariamente luoghi sicuri dal punto di vista informatico. Quando possibile, è preferibile utilizzare la connessione del telefono cellulare, un hotspot personale o una rete aziendale protetta. Soprattutto, non si dovrebbe mai installare un aggiornamento, un certificato o un programma di sicurezza proposto improvvisamente dalla pagina di accesso a una reaggressoril. La campagna attribuita all’Svr conferma che lo spionaggio contemporaneo non si svolge soltanto nei palazzi del potere, nelle ambasciate o negli uffici militari. Può cominciare nella hall di un albergo, davanti a una tazza di caffè, mentre un viaggiatore cerca semplicemente di collegarsi a Internet. Il Wi-Fi gratuito può avere un prezzo molto più alto di quanto immaginiamo.
(*) Docente universitario di Diritto internazionale e normative per la sicurezza
di Renato Caputo (*)