ホテルWi-Fiが攻撃拠点に「CaptiveCrunch」——出張中のMicrosoft 365アカウント乗っ取りにどう備えるか

出張先のホテルにチェックインし、ロビーの Wi-Fi に接続して Microsoft 365 にサインインする——多くのビジネスパーソンが特に意識せず行っている操作です。Microsoft は 2026 年 7 月 31 日、この場面そのものを狙う攻撃キャンペーン「CaptiveCrunch」を公表しました。攻撃を仕掛けているのは、ロシア対外情報庁(SVR)に帰属すると米英政府が評価する「Midnight Blizzard」(APT29 としても知られる)の下位クラスタ「Storm-2945」です。ホテルや会議場のキャプティブポータル型 Wi-Fi(接続時に表示されるログインページ)を経由して通信を操作し、出張中の企業アカウントを狙います。

CaptiveCrunch とは何か

Microsoft によると、Storm-2945 の活動は 2026 年 2 月以降に観測されており、2026 年 5 月初旬から大規模な検知が始まりました。標的になっているのは世界各地のホスピタリティ業界のネットワークです。

通信そのものが操作される——攻撃の流れ

CaptiveCrunch の核心は、キャプティブポータル配下のネットワークで通信そのものを操作する点にあります。Microsoft が説明する攻撃の流れを、次の図にまとめました。

最初に起きるのは、キャプティブポータル配下のネットワークでの DNS/HTTP トラフィックの操作です。Wi-Fi に接続した端末からの通信が、攻撃者管理下のインフラへリダイレクトされます。

次に、なりすましの入口が用意されます。ここでは性質の異なる2つの経路が使われます。ひとつは、Microsoft Online Services を模倣したドメインでのフィッシングや、Entra ID のデバイスコード認証フローの悪用です。偽のログイン画面や偽の認証プロンプトを通じて、マルウェアを介さずに認証情報やトークンを直接窃取する経路です。もうひとつは、「ClickFix」と呼ばれる社会工学手法です。偽のブラウザや OS のアップデート通知を表示し、ユーザー自身にコマンドを実行させることで、次に説明するマルウェアをインストールさせます。

CaptiveCrunch が使うマルウェア:CornFlake・ChocoShell・FruitStone

ClickFix によってユーザーが偽の更新通知を実行してしまうと、実際にインストールされるのが CornFlake と ChocoShell という2つのツールです。

CornFlake は Go 言語で書かれた Windows 向けの RAT(遠隔操作型マルウェア)です。キーロギング、スクリーンショットの取得、音声・映像の監視、ファイルやトークンの窃取、リモートシェルの実行といった機能を持ちます。ChocoShell は PowerShell 製の情報窃取ツールで、メモリ上で動作します。ブラウザに保存された認証情報、Microsoft 365 のシングルサインオン(SSO)トークン、Wi-Fi のパスワードを窃取し、UAC(ユーザーアカウント制御)を回避する機能も備えています。

こうした侵入・窃取を管理する側のツールが「FruitStone」です。Microsoft によれば、FruitStone は攻撃者(オペレーター)向けの C2(指揮統制)管理パネルです。

あなたの会社が「出張中の社員」を抱えているなら、CaptiveCrunch は他人事ではありません。

出張中の社員と情シスが今日からできること

Microsoft が挙げる対策は複数ありますが、すべてを一度に整備する必要はありません。実行のしやすさで並べ替えると、優先順位が見えてきます。

出張する社員が今日から実行できることは3つです。

• 実務上可能な範囲で、公共 Wi-Fi よりモバイルホットスポットやセルラー回線などの「private connectivity」を優先する
• キャプティブポータル経由で表示されるソフトウェア更新プロンプトを実行しない
• ホテルの Wi-Fi 登録時に企業の認証情報を再利用しない

一方、情シスが時間をかけて整備すべきものは次の3つです。

• Conditional Access(条件付きアクセス)ポリシーの強化
• 不要な場合はデバイスコード認証フローをブロックする
• フィッシング耐性のある多要素認証(MFA)・パスキーの実装

まとめ

CaptiveCrunch への対応で本当に効くのは、個々の対策を暗記することではなく、「今日から周知できること」と「情シスが時間をかけて整備すること」を分けて動かすことです。前者はコストがほぼゼロで、後者は情シスの体制に合わせて優先順位を検討すればよく、両方を同時に完璧にしようとする必要はありません。次の出張までに、まず認証情報の使い回しをしない旨だけでも社内共有しておくと、CaptiveCrunch が最初につけ込む「なりすましの入口」を1つ塞げます。

---

出典

• Microsoft Security Blog「CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theft」(2026-07-31): https://www.microsoft.com/en-us/security/blog/2026/07/31/captivecrunch-midnight-blizzard-targets-travelers-worldwide-for-malware-delivery-and-credential-theft/

※ この記事は AI を使用しています。Leadeas が自社開発した AI エージェント基盤で下書きを作成し、人間のレビューを経て公開しています。AI ネイティブ開発会社として自社の技術をそのまま実演する目的で、この手法を用いています。(詳しくは AI 利用ポリシー)