<p>Depuis juin 2026, des attaquants modifient les réglages DNS des passerelles Wi-Fi d'hôtels et de centres de congrès pour rediriger les...
C'est la pleine saison des déplacements professionnels, des salons et des séminaires. Une campagne révélée le 24 juillet 2026 par les chercheurs de ReliaQuest cible précisément ce moment: le Wi-Fi des hôtels et des centres de congrès est détourné pour voler les comptes Microsoft 365 des collaborateurs en déplacement. Les attaquants prennent le contrôle administrateur de la passerelle Wi-Fi de l'établissement, probablement via des interfaces d'administration exposées et mal protégées (SSH, SNMP, tableau de bord web) ou via des vulnérabilités non corrigées. Une fois dedans, ils n'installent aucun logiciel malveillant: ils modifient simplement les réglages DNS de la passerelle.
À partir de là, tout collaborateur connecté qui tape l'adresse du portail Microsoft se retrouve, sans le moindre avertissement, sur une copie conforme hébergée par l'attaquant. Quatre domaines ont été identifiés: m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com et ms365-live[.]com.
La campagne est active depuis au moins juin 2026. Des passerelles compromises ont été repérées dans plusieurs villes des États-Unis, mais aussi en Inde et en Arabie saoudite, avec du trafic issu d'organisations de la finance, du conseil, du juridique, de la santé, de l'énergie et du commerce. La cible n'est donc pas un secteur d'activité, c'est le salarié qui voyage. Une TPE dont le dirigeant se connecte depuis le Wi-Fi d'un salon professionnel est exactement dans le périmètre. Dans une partie des cas, l'attaque n'essaie même pas de voler le mot de passe. Elle exploite le flux d'authentification par code d'appareil (« device code ») de Microsoft. La victime voit une page d'apparence normale lui demandant de valider une connexion. Elle valide. Ce qu'elle ne voit pas, c'est qu'elle vient d'autoriser une session ouverte par l'attaquant: Microsoft délivre alors un vrai jeton OAuth au client de ce dernier.
La double authentification est ainsi contournée sans qu'aucun mot de passe n'ait été dérobé. Rappel utile: le MFA reste une excellente protection, mais il ne protège pas contre une victime que l'on convainc de cliquer sur « Approuver ». Dans environ un tiers des cas, les attaquants ont en plus tenté d'abuser du mécanisme WPAD de Windows pour faire transiter le trafic par un proxy qu'ils contrôlent.
L'idée reçue à corriger
« J'utilise le DNS de Google, je suis tranquille. » Non. Les chercheurs sont explicites: un résolveur public comme 8.8.8.8 ne protège pas, car la passerelle falsifie les requêtes en clair avant qu'elles n'atteignent le résolveur. Ce qui protège, c'est le chiffrement de la résolution DNS, pas le choix du résolveur. ReliaQuest rapproche par ailleurs cette campagne des opérations « FrostArmada », attribuées au groupe d'espionnage russe APT28 (Fancy Bear). VPN d'entreprise toujours actif, en tunnel complet, sur tous les portables et mobiles nomades. C'est la mesure numéro un., DNS chiffré (DoH ou DoT) en mode strict sur les postes, pour que la passerelle ne puisse plus falsifier les résolutions., Désactiver le flux « device code » dans Microsoft Entra ID s'il n'est pas indispensable, via une stratégie d'accès conditionnel., Désactiver WPAD sur les postes Windows (GPO ou registre) et dans les navigateurs., Un réflexe à faire passer aux équipes: ne jamais valider une invite de connexion que l'on n'a pas soi-même déclenchée, même si la page ressemble parfaitement à celle de Microsoft., Préférer le partage de connexion 4G/5G du téléphone professionnel au Wi-Fi de l'hôtel., Passer les comptes sensibles aux passkeys ou clés FIDO2 (admin M365, direction, comptabilité): ces méthodes résistent au hameçonnage. et Surveiller les journaux Entra ID: connexions depuis des lieux de déplacement, jetons émis via device code, nouveaux consentements OAuth. Si un collaborateur revient de déplacement et que quelque chose vous semble anormal, agissez sans attendre: révoquez ses sessions Entra ID, réinitialisez son mot de passe et vérifiez les règles de boîte aux lettres créées récemment — la création discrète d'une règle de transfert est le premier geste classique d'un attaquant sur une boîte Microsoft 365.
Chez TICLIC, nous accompagnons les TPE et PME sur la configuration du VPN nomade, le durcissement de Microsoft 365 et la sensibilisation des équipes.
Source: ReliaQuest, relayé par BleepingComputer, 24 juillet 2026.