【2026年最新】CaptiveCrunch攻撃とは？公衆Wi-Fiを狙うサイバー攻撃の仕組みを若手エンジニア向けに解説

Microsoft Threat Intelligenceが、公衆Wi-Fiやホテルなどのゲストネットワークを悪用した新たな攻撃キャンペーン「CaptiveCrunch」を公表しました。

この攻撃では、ホテルやカンファレンスセンターなどのネットワークを利用するユーザーの通信を操作し、偽のWebサイトや偽のソフトウェア更新画面へ誘導します。

CaptiveCrunchとは？

CaptiveCrunchは、Microsoft Threat Intelligenceが追跡している攻撃キャンペーンの名称です。

攻撃キャンペーンとは
特定の目的を達成するために、明確な意図と共通の手段（手法やインフラ）を使って、長期間かつ組織的に行われる一連のサイバー攻撃活動のことです。
単発の攻撃ではなく、失敗や成功を繰り返しながら執拗に標的へ侵入・潜伏を試みる点が特徴です。

この攻撃で特に注目したいのが、ホテルやカンファレンスセンターなどで利用される「キャプティブポータル」付きのWi-Fiネットワークが攻撃対象になっていることです。

キャプティブポータルとは、ホテルなどのWi-Fiに接続した際に表示される「利用規約への同意」「部屋番号の入力」「メールアドレスの入力」などを行うWebページのことです。

報告によると、攻撃に使われるマルウェアは以下のような情報を窃取できます。

ユーザーがホテルなどのWi-Fiに接続する
攻撃者がDNSやHTTP通信を改ざんし、ユーザーを偽サイトへ誘導る
ここがCaptiveCrunchの重要なポイントです。
Storm-2945がキャプティブポータルを利用するネットワークでDNSやHTTP通信を操作し、ユーザーの通信を攻撃者が管理するインフラへリダイレクト
Windows Updateやブラウザ更新画面を装った偽メッセージ
攻撃者は、ブラウザーやOSのアップデートに見せかけた画面を表示します。
ClickFixでユーザーに操作させる
CaptiveCrunchでは、ClickFixと呼ばれるソーシャルエンジニアリング手法も利用されています。
ClickFixでは、ユーザーに「問題を解決するための操作」と思わせて、実際には悪意のあるコマンドやスクリプトを実行させます。
CornFlakeというRATに感染する
CaptiveCrunchで確認された主要なマルウェアの一つが「CornFlake」です。
CornFlakeは情報窃取型マルウェアで、Go言語で作られたWindows向けRATです。