攻撃者は宿泊施設のインフラを侵害し、偽の検証チェック、サインインのプロンプト、ソフトウェアアップデートを表示する。これらのページは、ユーザーがホテルや施設の正当なWi-Fiゲートウェイを介して接続している最中に表示されるため、ユーザーがその欺瞞を見破ることは困難である。
一部の被害者は、マイクロソフトの正規のデバイスコード認証プロセスへ誘導される。攻撃者はサインイン試行を開始し、攻撃者が用意したコードを入力するよう被害者を説得する。被害者がその要求を承認すると、マイクロソフトは攻撃者のセッションに有効な認証トークンを発行し、攻撃者はパスワードを盗んだり多要素認証を直接回避したりすることなく、被害者のMicrosoft 365アカウントにアクセスできる可能性がある。
ReliaQuestの調査は認証情報の窃取に焦点を当てていたが、マイクロソフトの報告によると、このキャンペーンは被害者のデバイスにマルウェアを直接送り込むことも行っており、攻撃による潜在的な影響を大幅に拡大させている。また、Windowsのアップデートを装ってマルウェアを送り込むこともある。
マイクロソフトは、このWindows用の遠隔操作型マルウェア「RAT（リモートアクセス型トロイの木馬）」を「CornFlake」と名づけた。このRATは、認証情報やセッションのトークンを盗み、キーストロークを記録し、ファイルを収集し、スクリーンショットをキャプチャするように設計されている。さらに、監視のためにデバイスの音声や動画の機能を乗っ取り、攻撃者に持続的なアクセス権を与えることもできる。
ReliaQuestは、被害がホテルだけに留まらず、会議センターやその他の公共施設にも及んでいることを発見した。マイクロソフトによると、目的は出張者のアカウントやデバイスへのアクセスを獲得することである。同社の調査結果は、ReliaQuestの当初の報告書に記載されていた潜在的な影響を大幅に拡大するものであり、脅威をMicrosoft 365アカウントの侵害だけに留めず、持続的なマルウェア感染や影響を受けたデバイスに対する広範な監視にまで広げている。
マイクロソフトは旅行者に対し、ホテル、会議場、空港、その他のゲストネットワークを信頼できないものとして扱うよう助言している。同社は、モバイルホットスポット、携帯回線、その他のプライベートな接続手段を利用すること、キャプティブポータル経由でのアップデートを避けること、「条件付きアクセス」やフィッシング対策を施した多要素認証（MFA）を強化すること、不要な場合はデバイスコード認証をブロックすることを推奨している。
