Wi-Fi d'hôtel : Microsoft alerte sur la campagne CaptiveCrunch

Le Wi-Fi concerné n'est pas forcément un faux réseau

Le scénario documenté par Microsoft ne se limite pas au faux point d'accès qui imite le nom d'un hôtel. Dans la campagne CaptiveCrunch, les attaquants manipulent le trafic de réseaux déjà utilisés par des établissements liés à l'hôtellerie et équipés d'un portail captif. C'est la page qui demande habituellement d'accepter les conditions ou de saisir un code avant d'accéder à Internet.

Microsoft indique observer cette activité depuis le début du mois de mai 2026. L'enquête sur le point d'entrée initial dans les réseaux concernés reste en cours. L'entreprise note toutefois des ressemblances dans les équipements et les systèmes d'administration de plusieurs réseaux touchés. Cela peut indiquer un problème dans des services partagés, mais Microsoft ne le présente pas comme une certitude.

Pour la personne connectée, le danger est trompeur : le réseau peut être celui que l'hôtel lui a réellement communiqué. La redirection intervient ensuite, pendant la navigation ou lors des vérifications de connectivité effectuées automatiquement par le navigateur. La prudence ne consiste donc pas seulement à repérer un nom de Wi-Fi suspect.

De fausses pages Microsoft et de prétendues mises à jour

Microsoft attribue la campagne à Storm-2945, un sous-groupe qu'il rattache à Midnight Blizzard. Cette attribution est l'évaluation de Microsoft. Selon l'entreprise, les attaquants ont redirigé des utilisateurs vers une infrastructure sous leur contrôle, notamment vers des domaines qui imitent des services Microsoft en ligne.

Une partie des pages cherche à faire utiliser le mécanisme légitime de code d'appareil de Microsoft Entra ID. Le piège consiste à demander à la victime de saisir un code fourni par l'attaquant sur une vraie page de connexion Microsoft. Si elle le fait, elle n'ouvre pas sa propre session : elle autorise une session déjà lancée par l'attaquant. La présence d'un vrai domaine de connexion ne suffit donc pas à rendre ce code sûr.

D'autres redirections proposent de télécharger une prétendue mise à jour du navigateur, du système ou un outil de diagnostic. Microsoft a observé la diffusion de logiciels malveillants Windows, dont CornFlake, capable notamment de collecter des fichiers, des frappes au clavier, des identifiants et des jetons de session. Des indices montrent aussi des tentatives visant Android avec une demande d'installation de fichier APK.

Pourquoi les voyageurs professionnels sont particulièrement visés

Microsoft décrit des compromissions de réseaux Wi-Fi d'établissements hôteliers et d'autres lieux équipés de portails captifs dans plusieurs pays. ReliaQuest, cité par Microsoft, a aussi identifié de l'activité dans des centres de conférences et des lieux partagés. L'objectif évalué est l'accès aux comptes de voyageurs professionnels.

Ce ciblage s'explique par ce qui se trouve souvent sur un ordinateur de travail : messagerie, documents partagés, accès à des services cloud et sessions déjà ouvertes. Un jeton de session ou une validation de connexion détournée peut être plus utile à un attaquant qu'un mot de passe isolé, car il peut lui permettre d'utiliser un accès déjà authentifié. Cela ne signifie pas que chaque utilisateur d'un Wi-Fi d'hôtel a été compromis : Microsoft ne publie ni liste de victimes ni nombre de personnes touchées.

L'alerte est néanmoins utile aussi hors entreprise. Une fausse mise à jour téléchargée depuis un portail Wi-Fi peut viser les données d'un particulier, et une fausse page de connexion peut viser tout compte utilisé pendant le déplacement.

Le réflexe concret : ne rien installer depuis le portail Wi-Fi

Microsoft recommande de traiter les réseaux Wi-Fi d'hôtel, de conférence, d'aéroport et les autres réseaux invités comme non fiables. Lorsque c'est possible, l'entreprise conseille de préférer une connexion personnelle, par exemple le partage de connexion mobile ou une eSIM, pour les opérations sensibles. Ce conseil découle directement du mode opératoire observé : le trafic du réseau invité peut être manipulé.

Surtout, n'installez jamais une mise à jour, un certificat, une extension, un outil de dépannage ou un logiciel de sécurité parce qu'un portail Wi-Fi ou une page inattendue le demande. Les mises à jour doivent passer par le mécanisme habituel du système ou de l'application, ouvert par vous-même. Une page d'hôtel n'a pas à vous faire copier une commande dans PowerShell ou l'invite de commandes.

Ne saisissez pas non plus un code d'appareil fourni par une page, un interlocuteur ou un Wi-Fi pour accéder à Microsoft 365. Si une connexion doit être confirmée, fermez la page et ouvrez vous-même le service concerné. Microsoft recommande également de ne pas réutiliser les identifiants professionnels pour l'inscription à un réseau invité et d'utiliser une authentification multifacteur résistante à l'hameçonnage lorsque l'organisation la propose.

Ce que nous ne pouvons pas vérifier

Microsoft confirme avoir observé la campagne et décrit ses techniques, mais ne donne pas le nombre de réseaux compromis, le nom des hôtels concernés, le nombre de voyageurs touchés ni la liste des pays. Nous ne pouvons donc pas déterminer si un établissement précis en France est concerné, ni estimer le volume de comptes ou d'appareils compromis.

Le point d'entrée initial dans les réseaux à portail captif fait encore l'objet d'une enquête selon Microsoft. Nous ne pouvons pas vérifier indépendamment l'attribution de Storm-2945 à Midnight Blizzard, qui est présentée comme une évaluation de Microsoft Threat Intelligence. La reprise du sujet par la presse le 9 septembre ne constitue pas une nouvelle attaque annoncée ce jour-là : la publication technique de Microsoft date du 31 juillet 2026.

Sources : Microsoft Threat Intelligence ↗ · Le Républicain Lorrain ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.