Introduction
Se connecter au Wi-Fi de son hôtel pour consulter ses e-mails professionnels est un réflexe presque automatique pour tout voyageur d'affaires. C'est précisément ce réflexe qu'exploite une campagne de cyberattaque active depuis juin 2026, révélée par la société de cybersécurité ReliaQuest. Son originalité : l'attaque ne repose ni sur un logiciel malveillant installé sur l'appareil de la victime, ni sur un lien de phishing envoyé par e-mail, mais sur la corruption du réseau lui-même, au niveau de la passerelle Wi-Fi de l'hôtel.
1. Une campagne mondiale ciblant les voyageurs d'affaires
<cite index="15-1">La campagne est active depuis au moins juin 2026, selon les recherches de ReliaQuest, qui a identifié des passerelles Wi-Fi compromises dans plusieurs villes américaines, ainsi qu'en Inde et en Arabie saoudite, touchant des employés issus des secteurs de la finance, du droit, de la santé, de l'énergie, du commerce de détail et des services professionnels.</cite> Cette diversité de cibles montre que la campagne ne vise pas un secteur en particulier, mais tout profil de collaborateur amené à voyager pour le travail.
2. Le mécanisme technique : la passerelle Wi-Fi comme point de contrôle
Le fonctionnement de l'attaque repose sur une caractéristique fondamentale des réseaux : <cite index="15-1">un client d'hôtel peut se connecter au vrai réseau Wi-Fi de l'établissement et rester malgré tout exposé, car une fois les attaquants en possession d'un accès administrateur sur la passerelle, ils peuvent modifier le système qui dirige le trafic Internet de tous les appareils connectés</cite>. <cite index="18-1">La cible précise de l'attaque est le portail captif, ce système qui gère l'accès Internet des invités et distribue, via DHCP, l'adresse du serveur DNS à utiliser pour naviguer sur le web.</cite>
Concrètement, <cite index="15-1">lorsqu'un appareil demande à accéder à un site, le DNS convertit son nom en adresse numérique nécessaire pour l'atteindre ; une passerelle compromise peut fournir une fausse réponse et envoyer le navigateur vers une infrastructure contrôlée par l'attaquant</cite>. Résultat : la victime peut être <cite index="14-1">redirigée vers de fausses pages Microsoft 365 conçues pour voler ses identifiants ou prendre le contrôle de son compte, sans avoir cliqué sur le moindre lien de phishing</cite>.
3. Deux techniques complémentaires pour maximiser l'efficacité de l'attaque
Au-delà du détournement DNS, <cite index="18-1">les chercheurs ont identifié deux techniques secondaires : dans environ un cas sur trois, les attaquants tentent de détourner la découverte automatique du proxy (WPAD) pour faire transiter le trafic des applications Windows par leur propre serveur ; plus rare mais plus efficace, ils exploitent aussi le détournement du flux d'autorisation par code d'appareil, où la victime approuve ce qui ressemble à une demande d'autorisation légitime et où Microsoft délivre alors de véritables jetons OAuth à l'attaquant</cite>.
Cette dernière technique est particulièrement redoutable, car elle ne repose pas sur le vol d'un mot de passe mais sur la manipulation du consentement de l'utilisateur. <cite index="12-1">Cette manipulation du consentement sur un Wi-Fi public constitue la clé de voûte de l'attaque : elle ne casse pas la sécurité MFA, elle la contourne en trompant l'humain qui est censé être le maillon fort de la chaîne.</cite>
4. Un groupe d'attaquants lié au Kremlin
L'attribution de cette campagne a évolué à mesure que l'enquête progressait. <cite index="13-1">Microsoft attribue désormais cette campagne mondiale, baptisée CaptiveCrunch, au groupe Storm-2945, une sous-branche de l'entité Midnight Blizzard connue pour ses liens avec le Kremlin.</cite> <cite index="18-1">Le mode opératoire se rapproche de celui d'APT28, un groupe de piratage russe également connu sous les noms de Fancy Bear ou Forest Blizzard, avec des similitudes relevées vis-à-vis de la campagne FrostArmada, qui visait des routeurs SOHO et avait été démantelée en avril 2026.</cite>
5. Une attaque difficile à détecter, même pour un utilisateur vigilant
Ce qui rend cette campagne particulièrement dangereuse, c'est qu'elle échappe aux réflexes de sécurité habituels. La victime se connecte bien au réseau Wi-Fi légitime de l'hôtel, affiché avec le bon nom (SSID), sans avoir besoin de se faire piéger par un faux point d'accès parallèle. L'adresse qui s'affiche dans le navigateur peut également paraître cohérente, puisque c'est la résolution DNS elle-même qui est corrompue en amont, avant même que l'utilisateur ne tape la moindre adresse.
6. Les mesures de protection recommandées
Face à une menace qui empoisonne le réseau à sa source, la protection doit se construire autour de l'appareil lui-même plutôt que de faire confiance au réseau local :
- Utiliser un VPN d'entreprise dès la connexion à un réseau Wi-Fi public, afin de chiffrer l'intégralité du trafic avant qu'il n'atteigne la passerelle de l'hôtel.
- Préférer le partage de connexion du smartphone plutôt que le Wi-Fi public lorsque cela est possible pour les tâches sensibles.
- Désactiver l'authentification par code d'appareil (device code authentication) dans Microsoft Entra ID lorsque l'organisation n'en a pas l'usage, afin de fermer ce vecteur d'attaque spécifique.
- Désactiver le WPAD sur les postes qui n'en ont pas besoin, pour empêcher le détournement automatique du proxy.
- Surveiller les journaux de connexion à la recherche de localisations inhabituelles, d'appareils inconnus ou d'approbations d'applications suspectes.
<cite index="16-1">ReliaQuest recommande par ailleurs de désactiver l'authentification par code d'appareil de Microsoft Entra ID lorsque l'organisation n'en a pas besoin, et invite les équipes IT à revoir les journaux de connexion à la recherche de localisations inhabituelles, d'appareils non reconnus ou d'approbations d'applications suspectes, ainsi qu'à désactiver le WPAD lorsque les systèmes métier ne l'exigent pas.</cite>
Les points de vigilance
Cette campagne rappelle qu'un Wi-Fi affichant le bon nom et fourni par un établissement de confiance ne garantit en rien la sécurité de la connexion. La confiance accordée à un réseau ne devrait jamais reposer sur son apparence ou sa légitimité perçue, mais sur des mesures techniques indépendantes du réseau lui-même : chiffrement systématique du trafic, restriction des mécanismes d'authentification les plus exploitables, et surveillance continue des connexions aux comptes professionnels.
Conclusion
L'affaire CaptiveCrunch illustre une évolution inquiétante des attaques ciblant les identifiants professionnels : plutôt que de tromper l'utilisateur avec un e-mail piégé, les attaquants s'attaquent directement à l'infrastructure réseau que celui-ci croit fiable par défaut. Pour les entreprises dont les collaborateurs voyagent régulièrement, cela signifie qu'aucun réseau Wi-Fi public, même celui d'un grand hôtel international, ne doit être considéré comme sûr par défaut. Le VPN d'entreprise, la restriction des mécanismes d'authentification à risque et la surveillance active des connexions restent, à ce jour, les meilleures parades face à ce type de menace.