Fonti preferite
Immagina di essere in viaggio, magari per lavoro o per una vacanza tanto attesa. Arrivi in hotel, ti sistemi in camera e la prima cosa che fai, come milioni di persone ogni giorno, è connetterti al WiFi gratuito della struttura. Un gesto automatico, innocuo. O almeno così credi. Perché in questo preciso momento potresti essere finito nella rete di un gruppo di hacker russi che sta prendendo di mira i viaggiatori in tutto il mondo.
Non è l’inizio di un thriller tecnologico, ma l’allarme lanciato dal team di sicurezza e privacy di Microsoft, che ha identificato una campagna di attacchi informatici sofisticati condotti attraverso le reti WiFi di hotel, strutture ricettive e centri congressi. Si tratta di operazioni che Microsoft Threat Intelligence ha classificato come “attacchi di manipolazione del traffico diffusi ma mirati”, orchestrati da un gruppo identificato con il nome in codice Storm-2945.
La minaccia è reale e in corso. A partire da febbraio 2026, questi criminali informatici hanno intensificato le loro operazioni sfruttando anche l’intelligenza artificiale per rendere i loro attacchi più efficaci. Le tecniche utilizzate sono molteplici e insidiose: campagne di phishing mirate attraverso device code e codici OAuth, che permettono agli aggressori di registrare dispositivi su Microsoft Entra e successivamente raccogliere dati sensibili da Microsoft 365.
Ma è da maggio 2026 che la situazione si è fatta particolarmente preoccupante. Gli esperti hanno osservato Storm-2945 manipolare attivamente il traffico DNS e HTTP dalle reti servite dai captive portal, quei sistemi che richiedono l’autenticazione prima di accedere a Internet. In pratica, quando ti connetti al WiFi dell’hotel e vieni reindirizzato a quella pagina di benvenuto dove inserisci i tuoi dati o accetti i termini di servizio, potresti essere già sotto attacco.
Come evidenziato dagli specialisti di Malwarebytes che stanno monitorando la vicenda, le conseguenze di questi attacchi sono molteplici e inquietanti. Gli hacker possono rubare le credenziali di accesso delle vittime, scaricare malware attraverso finestre di dialogo false che sembrano del tutto legittime, e instradare silenziosamente tutto il traffico Internet attraverso l’infrastruttura controllata dagli attaccanti, intercettando ogni dato che passa.
I malware utilizzati in queste operazioni hanno nomi che suonano quasi innocui, ma le loro capacità sono tutt’altro che rassicuranti. CornFlake è uno dei principali: si tratta di un trojan di accesso remoto, un RAT nel gergo tecnico, capace di acquisire immagini dalla webcam del dispositivo compromesso, registrare audio dal microfono e catturare ogni singolo tasto premuto sulla tastiera. Pensate alle implicazioni: password digitate, conversazioni private, momenti intimi ripresi senza che voi ne sappiate nulla.
L’altro protagonista di questa storia è ChocoShell, un malware senza file basato su PowerShell particolarmente subdolo perché opera nella memoria del sistema senza lasciare tracce evidenti sul disco. Il suo obiettivo principale sono i cookie di sessione del browser, le password salvate, i token di Single Sign-On di Microsoft 365 e persino le credenziali WiFi memorizzate. In sostanza, ChocoShell è progettato per rubare tutto ciò che ti permette di accedere ai tuoi account e servizi online.
Ma come fanno questi criminali a ingannare utenti spesso esperti e attenti alla sicurezza? La risposta sta nell’ingegneria sociale raffinata. Microsoft ha pubblicato un elenco delle finestre di dialogo fasulle che potrebbero apparire una volta connessi alla rete WiFi compromessa. Sono tutte progettate per sembrare completamente autentiche, imitando processi e programmi legittimi di Windows.
Potresti vedere una schermata di Windows Update che mostra il messaggio “Elaborazione degli aggiornamenti in corso… Non spegnere il computer“, identica a quella che hai visto centinaia di volte sul tuo PC. Oppure una scansione antivirus di Windows Security che sembra del tutto normale. Altri esempi includono un programma di installazione web per DirectX End User Runtime, un installer ridistribuibile di Microsoft Visual C++, un’utilità di ottimizzazione del disco, uno strumento di diagnostica di rete, una richiesta di aggiornamento del browser o un programma di installazione per la visualizzazione di documenti PDF.
Tutte queste finestre, in apparenza innocue e anzi necessarie, sono in realtà veicoli per installare malware sul vostro dispositivo. Il livello di sofisticazione è tale che anche utenti con buone competenze tecniche potrebbero cadere nell’inganno, specialmente in un contesto come quello di un hotel dove ci si aspetta di dover configurare qualcosa per accedere alla rete.
La portata geografica di questi attacchi è globale. Non si tratta di minacce circoscritte a specifiche regioni o tipologie di strutture, ma di una campagna coordinata che prende di mira i viaggiatori ovunque si trovino. L’attribuzione a un gruppo russo da parte di Microsoft conferisce alla vicenda anche una dimensione geopolitica che va oltre il semplice crimine informatico a scopo di lucro.
Cosa fare allora per proteggersi? La prima regola è la consapevolezza: sapere che questi attacchi esistono e sono attivi è già un primo passo fondamentale. Quando vi connettete al WiFi di un hotel, siate estremamente cauti con qualsiasi finestra di dialogo che appaia, anche se sembra provenire da Windows o da altri programmi legittimi. Se possibile, utilizzate una VPN che cripta tutto il vostro traffico Internet, rendendo molto più difficile per gli attaccanti intercettare i vostri dati.
Evitate di accedere a servizi sensibili come home banking o email di lavoro quando siete connessi a reti WiFi pubbliche non protette. Se proprio dovete farlo, assicuratevi che i siti utilizzino HTTPS e, ancora meglio, attivate l’autenticazione a due fattori su tutti i vostri account importanti. Mantenete sempre aggiornato il vostro sistema operativo e il software antivirus, ma ricordate che gli aggiornamenti legittimi raramente vengono richiesti immediatamente dopo esservi connessi a una nuova rete WiFi.
