Piège à l’hôtel : attaque des passerelles Wi‑Fi pour voler des comptes Microsoft 365

Introduction

Depuis juin 2026, une campagne sophistiquée de cyberespionnage cible les professionnels en déplacement, en exploitant la compromission des passerelles Wi‑Fi d’hôtels et de centres de conférence. Les attaquants altèrent les paramètres DNS du réseau pour rediriger les victimes vers de fausses pages de connexion Microsoft 365, dans le but de dérober des identifiants ou, pire, des jetons OAuth authentifiés qui contournent totalement l’authentification multifacteur (MFA). La menace, détectée par les chercheurs de ReliaQuest, présente de fortes similitudes avec les opérations « FrostArmada » attribuées au groupe APT28 (Fancy Bear).

Analyse technique

L’attaque se déroule en plusieurs étapes. Dans un premier temps, les criminels prennent le contrôle des passerelles Wi‑Fi, en abusant souvent d’interfaces d’administration (SSH, SNMP, panneaux web) exposées avec des identifiants faibles ou un firmware non mis à jour. Une fois à l’intérieur, ils modifient les serveurs DNS pour rediriger les requêtes vers des domaines Microsoft légitimes sur des serveurs malveillants.

Lorsqu’un client se connecte au réseau et tente d’ouvrir Outlook ou Teams, le DNS empoisonné le dirige vers un portail cloné de Microsoft 365. La victime peut y saisir ses identifiants, qui sont immédiatement capturés. Mais l’aspect le plus insidieux est l’utilisation du flux device-code : l’attaquant présente à l’utilisateur un écran l’invitant à visiter une page réelle de Microsoft (comme microsoft.com/devicelogin) et à saisir un code affiché par la fausse page. Ce faisant, la victime autorise sans le savoir la délivrance d’un jeton de session valide qui intègre l’authentification MFA déjà vérifiée. Ce jeton permet un accès persistant au compte, sans qu’un changement ultérieur de mot de passe ne le bloque.

Parallèlement, une tentative d’exploitation du protocole WPAD (Web Proxy Auto‑Discovery) a été observée. En forçant l’utilisation d’un proxy contrôlé, les attaquants cherchent à intercepter l’intégralité du trafic web. L’efficacité de cette technique dans la campagne n’a pas été confirmée, mais elle démontre la polyvalence de l’offensive.

Les domaines employés incluent m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com et ms365-live[.]com, généralement enregistrés via des services d’hébergement anonymes pour entraver les enquêtes.

Impact

La campagne a touché des employés en déplacement aux États‑Unis, en Inde et en Arabie saoudite, avec une forte concentration dans les secteurs des services financiers, des études professionnelles, du juridique, de la santé, de l’énergie et de la distribution. L’accès non autorisé aux comptes Microsoft 365 permet la lecture de courriels, le vol de documents confidentiels et, potentiellement, des déplacements latéraux vers le réseau d’entreprise. Le vol de jetons présente un risque encore plus élevé, car il garantit une présence persistante même après la réinitialisation du mot de passe. Les informations exfiltrées peuvent inclure de la propriété intellectuelle, des données financières, des contrats et des dossiers personnels, avec des conséquences juridiques et réputationnelles.

Atténuation

Pour contrer cette menace, les organisations doivent mettre en œuvre une approche multicouche :

• VPN full‑tunnel et DNS chiffré : imposer l’utilisation d’un VPN d’entreprise encapsulant tout le trafic (sans tunnel partagé) et activer le DNS‑over‑HTTPS (DoH) ou le DNS‑over‑TLS (DoT) avec une configuration stricte, afin d’empêcher toute altération au niveau du réseau local.
• Désactiver WPAD : désactiver la détection automatique du proxy à la fois sur les postes de travail (stratégies de groupe sous Windows) et sur les équipements réseau, en bloquant les requêtes WPAD.
• Bloquer le flux Device Code : s’il n’est pas strictement nécessaire, supprimer l’octroi device code dans Microsoft Entra ID (portail Azure AD → Authentification → Flux d’octroi).
• Surveillance proactive : analyser les journaux de session Microsoft 365 à la recherche de domaines suspects, de connexions depuis des emplacements inhabituels ou d’activations de nouveaux appareils.
• Protéger les passerelles Wi‑Fi : pour les administrateurs des infrastructures, il est vital de verrouiller les interfaces de gestion : désactiver SSH, SNMP et l’interface web s’ils ne sont pas indispensables, appliquer rapidement les mises à jour du firmware et utiliser des identifiants robustes et uniques.
• Former les voyageurs : sensibiliser le personnel sur l’importance de ne jamais saisir ses identifiants professionnels en dehors d’un VPN sécurisé et de se méfier des pages de connexion inattendues.

FAQ

1. Pourquoi l’authentification multifacteur ne me protège‑t‑elle pas contre cette attaque ?

Le flux device‑code exploité par l’attaquant est un mécanisme d’authentification légitime conçu pour les appareils sans navigateur (ex. smart TV). Lorsque la victime, convaincue par la fausse page, visite /devicelogin et saisit le code, toute la procédure – y compris la vérification MFA – se déroule de manière authentique. À la fin, l’attaquant reçoit un jeton qui intègre la MFA déjà satisfaite, obtenant ainsi un accès indissociable de celui de l’utilisateur réel.

2. Comment puis‑je reconnaître si le Wi‑Fi de l’hôtel est compromis ?

C’est quasiment impossible pour un utilisateur ordinaire. Les signes possibles sont des redirections soudaines vers des pages de connexion anormales, des certificats SSL non valides ou des demandes de codes sur des sites externes. La défense la plus efficace reste de considérer le réseau comme hostile : toujours activer un VPN full‑tunnel avant toute opération, s’assurer que le DNS est chiffré et ne jamais saisir ses identifiants en l’absence de ces précautions.

3. Que doit faire une entreprise si elle soupçonne qu’un employé a été victime ?

Il faut agir rapidement :

• Révoquer immédiatement tous les jetons de session et forcer la réinitialisation du mot de passe dans Microsoft Entra ID.
• Supprimer toutes les applications ou appareils non autorisés associés au compte.
• Examiner les journaux des dernières activités pour repérer des connexions anormales, des transferts de courriels suspects ou la création de règles.
• Alerter l’équipe de sécurité pour une enquête plus approfondie, car l’attaquant a peut‑être déjà étendu la compromission à d’autres systèmes.