Une campagne d'attaque documentée fin juillet montre que le réseau Wi-Fi d'un hôtel peut suffire à faire tomber un compte Microsoft 365, double...
Ce que révèle la campagne visant les Wi-Fi d'hôtels
L'éditeur de sécurité ReliaQuest a documenté une campagne active depuis au moins juin 2026, au cours de laquelle des attaquants prennent la main sur les passerelles Wi-Fi d'hôtels et de centres de conférences pour en modifier les réglages DNS (source: ReliaQuest, recherche publiée le 24 juillet 2026). Les utilisateurs qui saisissent l'adresse légitime du portail Microsoft 365 sont alors dirigés vers une page d'authentification contrefaite, sans que rien dans leur navigation ne le laisse deviner.
Les chercheurs disent avoir identifié des passerelles compromises aux États-Unis, en Inde et en Arabie saoudite, et observé du trafic provenant d'organisations de la finance, du conseil, du juridique, de la santé, de l'énergie et du commerce. Aucun cas français n'a été confirmé à ce jour. ReliaQuest rapproche ces méthodes de campagnes attribuées au groupe d'espionnage russe APT28, en présentant ce rapprochement comme une ressemblance technique et non comme une attribution établie. Le point le plus instructif tient à la manière dont l'authentification multifacteur est neutralisée. Dans une partie des cas observés, l'attaquant ne cherche ni à intercepter le mot de passe ni à capter le code à usage unique. Il déclenche à distance une authentification par code d'appareil, un mécanisme légitime de Microsoft conçu pour les équipements sans clavier, puis présente à la victime une page l'invitant à valider la demande.
En approuvant, l'utilisateur autorise une session ouverte par l'attaquant. Un jeton OAuth parfaitement valide est délivré à ce dernier, qui accède dès lors à la messagerie, aux documents et aux échanges internes. Le MFA a fonctionné comme prévu: c'est la validation humaine qui a porté sur la mauvaise demande. Aucun correctif ne répond à ce scénario, seules la configuration du tenant et les habitudes des équipes y parviennent.
Pourquoi les réflexes habituels ne suffisent pas
Deux idées reçues tombent ici. La première consiste à penser qu'utiliser un résolveur DNS public, du type 8.8.8.8, met à l'abri d'un détournement. ReliaQuest précise que la passerelle compromise falsifie les requêtes en clair avant même qu'elles n'atteignent le résolveur choisi. La seconde revient à se fier à l'affichage du navigateur, alors que le nom de domaine visible est celui d'un site contrôlé par l'attaquant, enregistré pour ressembler à une adresse Microsoft.
Les chercheurs ont par ailleurs observé, dans environ un tiers des cas étudiés, une tentative d'abus du mécanisme de découverte automatique de proxy sous Windows. Cette voie n'a pas été confirmée comme aboutie par l'éditeur, mais elle élargit la surface exposée sur un poste insuffisamment durci.
Les mesures qui changent réellement quelque chose
Trois leviers sont à la portée d'une PME. Le premier est le VPN d'entreprise en tunnel complet, activé en permanence sur les postes et mobiles en déplacement: le réseau local de l'hôtel ne voit plus qu'un flux chiffré et perd toute prise sur la résolution des noms. Le deuxième est la désactivation du flux d'authentification par code d'appareil dans Microsoft Entra ID lorsque aucun usage ne le justifie, ce qui supprime purement et simplement le scénario décrit plus haut.
Le troisième relève de l'organisation plutôt que de la technique: aucune demande d'authentification qu'un collaborateur n'a pas lui-même déclenchée ne doit être approuvée, quel que soit l'écran sur lequel elle apparaît. C'est le type de réflexe que les sessions de sensibilisation menées par TICLIC installent dans la durée, pour un coût sans commune mesure avec celui d'une reprise de compte.
Faire le point avant la prochaine série de déplacements
Un audit de configuration Entra ID, une politique d'accès conditionnel encadrant les connexions depuis des réseaux non maîtrisés et un déploiement VPN cohérent forment un socle réaliste, sans bouleverser les usages quotidiens. Les équipes TICLIC accompagnent les PME sur ces trois volets, de l'état des lieux à la mise en œuvre.
Sources: ReliaQuest, recherche sur le détournement DNS des passerelles Wi-Fi (https://www.reliaquest.com/blog/); BleepingComputer, 24 juillet 2026 (https://www.bleepingcomputer.com/news/security/hackers-hijack-hotel-wi-fi-dns-to-steal-microsoft-365-accounts/).