Le Wi-Fi gratuit des hôtels où vous allez, c’est génial. Si vous l’utilisez pour ouvrir votre boîte mail professionnelle, en revanche, là ça l’est moins. Car des cybercriminels détournent ces réseaux pour dérober des comptes Microsoft 365 grâce à une attaque presque invisible.
Pour faire simple, des pirates exploitent désormais certains réseaux publics. Cela peut être le Wi-Fi des hôtels comme ceux des centres de conférences. Mais pour quoi faire ?
Pour rediriger discrètement leurs victimes vers de faux portails Microsoft 365 et récupérer leurs identifiants. Cela, sans qu’elles aient besoin de cliquer sur un lien frauduleux.
Et devinez quoi ? Leur méthode peut même contourner la double authentification sans éveiller les soupçons.
Depuis au moins juin 2026, plusieurs réseaux Wi-Fi ont été compromis aux États-Unis, en Inde et en Arabie saoudite. Du moins, c’est ce que révèle l’enquête menée par ReliaQuest.
D’après l’organisation, cette campagne vise principalement les employés en déplacement professionnel. Plusieurs entreprises des secteurs de la finance, de la santé, de l’énergie et du droit auraient déjà été concernées.
Comment les hackers contournent les Wi-Fi d’Hôtel ?
Au cœur de cette attaque se trouve la compromission des passerelles qui gèrent l’accès aux réseaux Wi-Fi publics. Cette méthode rappelle la campagne FrostArmada, attribuée au groupe de cyberespionnage APT28, également connu sous les noms de Fancy Bear ou Forest Blizzard.
Les chercheurs ignorent encore le point d’entrée exact utilisé par les pirates. Ils estiment toutefois que ces derniers ont pu exploiter quelque chose. Genre, des interfaces d’administration accessibles depuis Internet, des mots de passe trop faibles ou réutilisés. Voire des failles de sécurité encore inconnues.
Une fois la passerelle compromise, les attaquants modifient le fonctionnement du DNS. C’est-à-dire, le service chargé de faire correspondre les adresses web avec les serveurs appropriés.
Résultat : lorsqu’une victime tente d’accéder à Microsoft 365, elle est redirigée vers une copie presque parfaite de la page officielle. Quoique, hébergée sur une infrastructure contrôlée par les pirates.
La double authentification n’arrête pas les hackers
L’un des aspects les plus inquiétants de cette campagne est sa capacité à contourner la double authentification. Pour autant, elle ne la désactive point.
Les pirates utilisent pour cela le mécanisme d’authentification par code d’appareil de Microsoft. Ils déclenchent eux-mêmes une demande de connexion, puis affichent à la victime une demande de validation qui paraît parfaitement normale.
Pensant confirmer sa propre connexion, celle-ci autorise en réalité l’application contrôlée par les attaquants. Ces derniers obtiennent alors un jeton OAuth leur donnant accès au compte Microsoft 365.
Ils peuvent consulter les e-mails professionnels, récupérer des documents stockés sur OneDrive ou SharePoint et accéder aux échanges internes de l’entreprise. Le tout sans connaître le mot de passe après cette étape.
Alors, que faire ?
Pour réduire les risques, ReliaQuest recommande avant tout d’utiliser un VPN configuré en tunnel complet. Dans cette configuration, l’ensemble du trafic, y compris les requêtes DNS, passe dans un canal chiffré.
Les équipements du réseau Wi-Fi ne peuvent alors plus voir les sites consultés ni modifier les réponses DNS pour rediriger l’utilisateur vers un faux portail.
Si un VPN n’est pas disponible, utilisez un DNS chiffré via DoH ou DoT, configuré en mode strict. Cela évite un retour automatique vers un DNS classique non sécurisé. Car changer simplement de serveur DNS pour Google ou Cloudflare n’offre pas une protection suffisante si les requêtes continuent d’être transmises sans chiffrement.
Quelques réflexes restent également essentiels. Avant de saisir des identifiants, il faut toujours vérifier attentivement l’adresse affichée dans le navigateur.
Les chercheurs ont notamment identifié plusieurs faux domaines spécialement créés pour imiter Microsoft 365. Parmi eux, m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com ou encore ms365-live[.]com.
De la même manière, toute demande d’authentification par code d’appareil doit correspondre à une action que vous venez vous-même de lancer.
En cas de doute, mieux vaut couper immédiatement le Wi-Fi. À la place, utilisez le partage de connexion de votre smartphone et accédez directement au service concerné.
- Partager l'article :
