Se connecter au réseau Wi-Fi gratuit d’un hôtel, d’une gare, d’un aéroport ou d’un centre commercial semble aujourd’hui anodin. Pourtant, le risque cyber lié aux Wi-Fi publics est bien réel : dans certains cas, il suffit d’utiliser un réseau compromis pour exposer ses identifiants professionnels, sans cliquer sur un lien malveillant ni télécharger le moindre fichier suspect.
Une récente campagne d’attaques identifiée par les chercheurs de ReliaQuest montre que des cybercriminels exploitent désormais les infrastructures Wi-Fi publiques pour dérober des accès Microsoft 365 appartenant à des voyageurs d’affaires. Cette technique, particulièrement discrète, contourne les réflexes habituels de cybersécurité et cible directement la confiance des utilisateurs.
Comment fonctionne cette attaque ?
L’empoisonnement DNS au cœur du dispositif
L’attaque repose sur une technique redoutable : l’empoisonnement DNS (DNS poisoning).
Pour comprendre son fonctionnement, il faut rappeler que le DNS (Domain Name System) agit comme l’annuaire d’Internet : il traduit les noms de domaine lisibles (exemple : outlook.office.com) en adresses IP compréhensibles par les équipements réseau.
Lorsque des cybercriminels prennent le contrôle d’une passerelle Wi-Fi publique ou du serveur DNS local associé, ils manipulent les réponses envoyées aux équipements connectés. Au lieu d’être dirigée vers le véritable serveur de Microsoft, la victime est redirigée vers une infrastructure frauduleuse contrôlée par les attaquants.
Une redirection totalement invisible
L’une des particularités de cette menace est sa discrétion absolue :
Saisie légitime : L’utilisateur saisit la bonne adresse dans son navigateur ou utilise un favori enregistré.
Interception réseau : La requête est interceptée et falsifiée au niveau de la passerelle Wi-Fi.
Usurpation d’interface : Le trafic est redirigé vers une page de connexion pirate reproduisant à l’identique l’interface officielle.
Capture transparente : La victime pense interagir avec son service habituel alors qu’elle transmet ses informations directement aux attaquants.
Pourquoi la double authentification (MFA) ne suffit-elle plus ?
Contrairement aux campagnes de phishing traditionnelles par e-mail, ces attaques s’appuient sur des mécanismes d’interception avancés de type Adversary-in-the-Middle (AiTM) et sur l’exploitation du flux de code d’appareil (Device-Code Flow).
Ces dispositifs permettent non seulement de récupérer les identifiants de connexion (identifiant et mot de passe), mais également de voler les jetons de session (session tokens) émis juste après la validation de la double authentification (MFA/2FA).
Le danger principal : L’utilisateur ne commet aucune erreur décelable. Il tape la bonne URL, respecte les procédures de sécurité et valide son invite MFA habituelle. Sa seule vulnérabilité réside dans le fait d’être connecté à un réseau local compromis.
Qui est concerné par ce risque cyber sur les Wi-Fi publics ?
Bien que l’ensemble des usagers soit exposé, ces campagnes ciblent prioritairement des profils à haute valeur stratégique :
Cadres dirigeants et membres de comités de direction ;
Employés en déplacement professionnel régulier ;
Consultants, avocats et experts financiers ;
Professionnels de santé manipulant des données sensibles ;
Acteurs des secteurs stratégiques (énergie, défense, services critiques).
Les attaquants privilégient logiquement les zones à forte densité de voyageurs d’affaires : hôtels de standing, centres de conférence, salons VIP d’aéroports et espaces de coworking.
Une menace internationale en pleine expansion
Selon les données de ReliaQuest, cette campagne est active depuis au moins juin 2026. Des infrastructures compromises ont notamment été détectées dans plusieurs grandes métropoles américaines, en Inde et en Arabie saoudite.
Les chercheurs observent des similitudes tactiques avec les modes opératoires historiquement attribués au groupe APT28 (également connu sous les noms Fancy Bear ou Forest Blizzard), tout en restant prudents quant à une attribution définitive. Cette évolution confirme que les risques cyber sur les réseaux Wi-Fi publics ne relèvent plus du piratage opportuniste, mais bien de campagnes d’espionnage industriel à grande échelle.
Comment réduire efficacement les risques cyber sur Wi-Fi public ?
Pour se prémunir contre l’empoisonnement DNS et les attaques AiTM en déplacement, plusieurs bonnes pratiques doivent être combinées :
1. Privilégier le partage de connexion mobile
L’utilisation d’un point d’accès personnel 4G ou 5G reste la mesure la plus simple et la plus sûre. Elle permet de s’affranchir totalement des infrastructures réseau locales non maîtrisées.
2. Utiliser un VPN d’entreprise en mode « Full Tunnel »
Un VPN configuré en Full Tunnel chiffre l’intégralité du trafic réseau dès la carte réseau de la machine. Il isole l’appareil des serveurs DNS locaux du Wi-Fi public et empêche toute redirection malveillante. C’est la protection la plus solide recommandée par les experts.
3. Configurer un DNS chiffré en mode strict (Strict DoH/DoT)
Les protocoles DNS-over-HTTPS (DoH) ou DNS-over-TLS (DoT) chiffrent les requêtes DNS. Attention toutefois : il est crucial de les configurer en mode strict, car le mode opportuniste par défaut peut subir un repli en flux clair (fallback) imposé par les portails captifs d’hôtels.
4. Déployer des passkeys (FIDO2)
Les passkeys reposent sur un couplage cryptographique lié au nom de domaine officiel. Même si un attaquant parvient à rediriger l’utilisateur vers un faux site miroir parfait, le navigateur refusera de transmettre le secret cryptographique, rendant l’attaque AiTM inopérante.
5. Conserver des réflexes de vigilance
Vérifier la cohérence du certificat SSL/TLS affiché par le navigateur.
Éviter toute connexion à des outils internes (messagerie, ERP, portail RH) sans VPN actif.
Signaler immédiatement aux équipes IT toute demande d’authentification inhabituelle ou répétée.
À retenir
Le risque cyber sur Wi-Fi public ne repose plus sur l’imprudence de l’utilisateur, mais sur la falsification de l’infrastructure réseau elle-même. Pour protéger efficacement les accès professionnels des collaborateurs nomades, la sensibilisation doit s’accompagner de mesures techniques strictes : l’usage systématique d’un VPN en tunnel complet, le déploiement des passkeys et le réflexe du partage de connexion 4G/5G.
