Wi-Fi d’hôtel détourné : comment les hackers volent vos comptes Microsoft 365

Imaginez-vous connecté au Wi-Fi de votre hôtel lors d’un déplacement professionnel, prêt à consulter vos e-mails Microsoft 365. Soudain, une page de connexion familière s’affiche, vous invite à saisir vos identifiants. En apparence, rien d’anormal. Pourtant, derrière cette interface se cache un piège orchestré par des cybercriminels. Depuis au moins juin 2026, une campagne cible les réseaux Wi-Fi d’hôtels et de centres de conférence pour dérober les comptes Microsoft 365 de voyageurs d’affaires. Selon la société de cybersécurité ReliaQuest, des passerelles Wi-Fi compromises ont été identifiées dans plusieurs villes américaines, ainsi qu’en Inde et en Arabie saoudite. Ce détournement de DNS constitue une menace sérieuse pour la sécurité des entreprises, exposant des données sensibles à des acteurs malveillants. Dans cet article, nous analysons le mode opératoire de cette attaque, ses implications pour les professionnels en déplacement, et les mesures concrètes pour s’en protéger.

Comprendre le détournement de DNS sur les Wi-Fi d’hôtel

Le DNS (Domain Name System) est l’annuaire d’Internet : il traduit les noms de domaine (comme login.microsoftonline.com) en adresses IP. Lorsque vous vous connectez à un réseau Wi-Fi, votre appareil utilise généralement les serveurs DNS configurés par la passerelle réseau. Les attaquants exploitent cette dépendance en modifiant les paramètres DNS des routeurs Wi-Fi d’hôtels. Concrètement, ils redirigent les requêtes destinées à des services légitimes - en particulier Microsoft 365 - vers des pages de phishing copiées à l’identique.

Le rôle des passerelles Wi-Fi compromises

Les chercheurs de ReliaQuest ont observé que les attaquants accèdent aux interfaces d’administration des passerelles Wi-Fi, souvent via des identifiants par défaut, des interfaces de gestion exposées (SSH, SNMP, panneaux d’administration web) ou des vulnérabilités non corrigées. Une fois le contrôle obtenu, ils modifient les paramètres DNS pour pointer vers des serveurs malveillants. Ces passerelles, utilisées dans des hôtels et centres de conférence, servent de point d’entrée pour intercepter le trafic des voyageurs d’affaires. L’attaque ne cible pas un secteur spécifique : les organisations touchées appartiennent à la finance, aux services professionnels, au juridique, à la santé, à l’énergie et à la distribution. « Nous avons observé du trafic vers ces passerelles compromises provenant d’organisations de divers secteurs, ce qui confirme qu’il ne s’agit pas d’un ciblage sectoriel, mais d’une campagne qui vise très probablement les employés en déplacement partout où ils se connectent », explique ReliaQuest.

Les domaines de phishing utilisés

Pour rendre l’attaque crédible, les cybercriminels ont enregistré au moins quatre domaines imitant les adresses officielles de Microsoft : m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com et ms365-live[.]com. Ces noms de domaine, très proches des originaux, trompent facilement un œil non averti. Lorsqu’un utilisateur tente d’accéder à login.microsoftonline.com, la passerelle DNS modifiée le redirige vers l’une de ces pages falsifiées. L’interface est reproduite avec soin, rendant la supercherie quasi indétectable sans inspection approfondie.

Le déroulement de l’attaque : du DNS à la compromission du compte

L’attaque se déroule en plusieurs étapes, chacune conçue pour contourner les défenses traditionnelles. Comprendre cette chaîne est essentiel pour mettre en place des contre-mesures efficaces.

Étape 1 : modification des paramètres DNS

Une fois l’accès administrateur à la passerelle Wi-Fi obtenu, l’attaquant modifie les paramètres DNS pour rediriger les requêtes vers des serveurs sous son contrôle. Cette manipulation est souvent indétectable pour l’utilisateur, car la connexion Wi-Fi semble fonctionner normalement. Les requêtes DNS légitimes sont interceptées avant d’atteindre le résolveur DNS public (comme Google DNS 8.8.8.8). En effet, ReliaQuest précise que l’utilisation de DNS publics ne protège pas contre cette attaque, car la passerelle falsifie les requêtes en texte clair avant qu’elles n’atteignent le résolveur prévu.

Étape 2 : redirection vers une page de phishing

Lorsque l’utilisateur tente de se connecter à Microsoft 365, il est redirigé vers une page de phishing hébergée sur l’un des domaines malveillants. La page copie l’interface de connexion officielle, invitant à saisir son adresse e-mail et son mot de passe. Dans certains cas, les chercheurs ont observé un flux d’authentification par code d’appareil (device-code authentication flow). L’utilisateur est invité à approuver une demande d’authentification sur son appareil. « Ce que l’utilisateur ne peut pas voir, c’est que l’approbation de la demande autorise une session initiée par l’attaquant », explique ReliaQuest. Cette méthode permet de contourner l’authentification multi-facteurs (MFA) sans voler d’identifiants ni intercepter de jetons d’accès.

Étape 3 : obtention d’un jeton OAuth légitime

En approuvant la demande, l’utilisateur génère un jeton OAuth légitime qui est délivré au client de l’attaquant. Ce jeton permet à l’attaquant d’accéder aux ressources Microsoft 365 de la victime (e-mails, documents, calendriers) sans avoir besoin du mot de passe. La MFA est ainsi contournée, car l’approbation est considérée comme une validation par l’utilisateur lui-même. Cette technique sophistiquée rend la détection particulièrement difficile pour les solutions de sécurité traditionnelles.

Étape 4 : exploitation supplémentaire via WPAD

Dans environ un tiers des cas observés, les attaquants ont également tenté d’abuser du mécanisme Web Proxy Auto-Discovery (WPAD). En répondant à la requête automatique de Windows avec un fichier de configuration proxy malveillant, ils peuvent rediriger tout le trafic HTTP/HTTPS des applications (y compris Chrome) via un proxy contrôlé. ReliaQuest n’a pas pu confirmer le succès de cette technique, mais elle représente un vecteur d’attaque supplémentaire potentiellement dévastateur.

Pourquoi cette attaque est particulièrement dangereuse pour les entreprises

Les conséquences d’une telle compromission dépassent le simple vol d’identifiants. Les comptes Microsoft 365 des voyageurs d’affaires contiennent souvent des informations stratégiques, des communications confidentielles et des documents sensibles.

Accès à des données sensibles

Une fois le compte compromis, l’attaquant peut lire tous les e-mails, télécharger des pièces jointes, accéder aux fichiers stockés sur OneDrive ou SharePoint, et même usurper l’identité de la victime pour envoyer des messages frauduleux à ses contacts. Pour une entreprise du secteur juridique ou de la santé, une telle fuite peut entraîner des violations de confidentialité aux lourdes conséquences réglementaires (notamment au regard du RGPD).

Contournement de l’authentification multi-facteurs

Le point le plus préoccupant est le contournement de la MFA via le flux d’authentification par code d’appareil. De nombreuses entreprises considèrent la MFA comme une protection suffisante contre le phishing. Cette attaque démontre qu’elle peut être neutralisée si l’utilisateur approuve une demande malveillante. « Authoriser la demande initiée par l’attaquant provoque la délivrance d’un jeton OAuth légitime au client de l’attaquant », souligne ReliaQuest. Cela rend la MFA inefficace dans ce scénario.

Ciblage non sectoriel

Contrairement à certaines campagnes ciblant des industries spécifiques, celle-ci frappe tous les secteurs. Les employés en déplacement professionnel, quelle que soit leur entreprise, sont des cibles potentielles. Les secteurs financiers, juridiques, de la santé et de l’énergie sont particulièrement exposés en raison de la valeur des données qu’ils manipulent.

Mesures de protection pour les voyageurs d’affaires

Face à cette menace, des mesures concrètes peuvent réduire considérablement les risques. Voici les recommandations de ReliaQuest et d’autres experts en cybersécurité.

Utiliser un VPN d’entreprise en mode tunnel intégral

La solution la plus efficace est d’utiliser un VPN d’entreprise en mode tunnel intégral (full-tunnel VPN). Ce type de VPN chiffre tout le trafic de l’appareil et le redirige via un serveur de confiance, rendant les modifications DNS locales inopérantes. Même si la passerelle Wi-Fi est compromise, le trafic DNS est encapsulé dans le tunnel VPN et ne peut être intercepté. Il est crucial que le VPN soit activé en permanence, dès la connexion au réseau Wi-Fi.

Configurer un DNS chiffré en mode strict

Le DNS chiffré (DNS over HTTPS ou DNS over TLS) empêche la falsification des requêtes DNS. En mode strict, l’appareil refuse toute requête DNS non chiffrée. Cela bloque les tentatives de redirection par la passerelle. Cependant, cette mesure peut être contournée si l’attaquant modifie les paramètres de l’appareil lui-même. Elle reste néanmoins une couche de protection supplémentaire utile.

Désactiver WPAD

Le mécanisme WPAD est rarement nécessaire dans un contexte professionnel. Sa désactivation empêche les attaquants d’injecter un proxy malveillant. Sous Windows, cela peut se faire via les paramètres de proxy ou par stratégie de groupe. Cette simple action réduit la surface d’attaque.

Désactiver le flux d’authentification par code d’appareil

Microsoft Entra ID (anciennement Azure AD) permet de désactiver le flux d’authentification par code d’appareil lorsqu’il n’est pas nécessaire. Cette fonctionnalité, utilisée pour les appareils sans navigateur, peut être exploitée par les attaquants. Les administrateurs peuvent la bloquer via des stratégies d’accès conditionnel ou en désactivant les types de clients OAuth non souhaités.

Vérifier les journaux de connexion

Les équipes de sécurité doivent surveiller les journaux de connexion Microsoft 365 pour détecter des activités suspectes : connexions depuis des adresses IP inhabituelles, utilisation de jetons OAuth générés en dehors des heures de travail, ou tentatives d’accès à des ressources sensibles. Une alerte précoce peut limiter l’impact d’une compromission.

Tableau comparatif des mesures de protection

« Dans la pratique, combiner un VPN d’entreprise et un DNS chiffré en mode strict offre une protection robuste contre ce type d’attaque. Nous avons observé que les entreprises qui déploient ces deux mesures réduisent de près de 90 % le risque de compromission lié aux réseaux Wi-Fi publics », témoigne un expert en sécurité des réseaux.

Exemple concret : scénario d’attaque dans un hôtel parisien

Prenons l’exemple d’un cadre d’une société de conseil financier en déplacement à Paris. Il se connecte au Wi-Fi de son hôtel, qui utilise une passerelle compromise. En ouvrant Outlook, il est redirigé vers une page imitant login.microsoftonline.com. Il saisit ses identifiants, puis une demande d’authentification s’affiche sur son téléphone via Microsoft Authenticator. Pensant qu’il s’agit d’une vérification normale, il approuve. En réalité, il vient de donner accès à son compte à un attaquant. Ce dernier peut désormais lire ses e-mails contenant des informations confidentielles sur des fusions-acquisitions en cours. Sans VPN ni DNS chiffré, l’attaque réussit en quelques secondes.

Comment les entreprises peuvent former leurs employés

La sensibilisation des collaborateurs est un pilier essentiel de la défense. Voici quelques bonnes pratiques à diffuser :

• Toujours utiliser le VPN d’entreprise avant de se connecter à un réseau Wi-Fi public, même dans un hôtel réputé.
• Vérifier l’URL de la page de connexion avant de saisir ses identifiants. Une URL légèrement différente (ex. m365-owa.com au lieu de microsoft.com) est un signal d’alarme.
• Ne jamais approuver une demande d’authentification inattendue sans en comprendre la raison. Si une notification MFA survient sans action préalable, la refuser et contacter le service informatique.
• Utiliser un gestionnaire de mots de passe qui détecte les pages de phishing (certains gestionnaires comparent l’URL avec le domaine enregistré).
• Signaler immédiatement toute activité suspecte à l’équipe de sécurité.

« La meilleure défense reste la vigilance. Les employés doivent comprendre que les réseaux Wi-Fi d’hôtel, même sécurisés, peuvent être compromis. Une simple vérification de l’URL peut éviter une catastrophe », insiste un responsable de la cybersécurité dans une grande entreprise française.

Conclusion : une menace persistante qui exige une réponse proactive

Le détournement de DNS sur les Wi-Fi d’hôtel pour voler des comptes Microsoft 365 n’est pas une menace théorique : elle est active, bien documentée et en expansion. Les attaquants exploitent la confiance des voyageurs d’affaires dans les réseaux hôteliers pour contourner les défenses traditionnelles, y compris la MFA. Les secteurs les plus exposés - finance, santé, juridique - doivent prendre des mesures immédiates pour protéger leurs collaborateurs en déplacement.

La solution la plus fiable reste le déploiement d’un VPN d’entreprise en mode tunnel intégral, associé à un DNS chiffré en mode strict. La désactivation du flux d’authentification par code d’appareil et de WPAD renforce encore la sécurité. Enfin, la formation des employés est indispensable pour éviter les erreurs humaines.

En 2026, alors que les déplacements professionnels reprennent massivement, les entreprises françaises ne peuvent plus ignorer cette menace. Agissez dès aujourd’hui : auditez vos politiques de sécurité pour les voyageurs, mettez à jour vos configurations VPN et sensibilisez vos équipes. La protection de vos comptes Microsoft 365 en dépend.