Le Wi-Fi des hôtels devient une arme : comment les pirates détournent le DNS pour voler les identifiants Microsoft 365 (et pourquoi un VPN reste utile)
Si vous avez déjà refermé un ordinateur portable dans le hall d'un hôtel en faisant confiance au Wi-Fi comme s'il s'agissait de celui de votre bureau, la dernière semaine de juillet 2026 est une bonne raison de revoir cette habitude. Les chercheurs en sécurité de BleepingComputer et HackRead ont documenté indépendamment une vague d'attaques dans lesquelles des criminels réécrivent silencieusement les paramètres DNS des passerelles Wi-Fi des hôtels, puis regardent tranquillement les clients saisir leurs vrais mots de passe Microsoft 365 sur des répliques convaincantes de la page de connexion officielle. Le même schéma est observé dans les centres de conférence et les espaces de coworking. La bonne nouvelle, c'est que la technique sous-jacente n'est pas nouvelle et que les défenses ne sont pas compliquées. La mauvaise nouvelle, c'est que la plupart des voyageurs n'en utilisent aucune.
Ce qui se passe réellement
Dans les attaques signalées ce mois-ci, la victime n'est pas l'ordinateur portable du client. La victime est la passerelle. Le Wi-Fi d'hôtel et de conférence fonctionne presque toujours sur un routeur géré qui propose un portail captif pour l'authentification et qui, en coulisses, contrôle le DNS de chaque appareil connecté. Dès qu'un attaquant obtient un accès administratif à ce routeur, que ce soit via un identifiant par défaut ou volé, une vulnérabilité de micrologiciel non corrigée ou une manipulation par ingénierie sociale du prestataire informatique sur place, il peut modifier les enregistrements DNS que la passerelle distribue. À partir de ce moment, toute personne dans le hall qui saisit login.microsoftonline.com dans un navigateur est silencieusement redirigée vers un serveur contrôlé par l'attaquant et qui ressemble trait pour trait au vrai portail Microsoft. Le certificat TLS peut même correspondre, car l'attaquant a appris à émettre des certificats pour le nom d'hôte d'origine via des services de validation automatisés.
La page de phishing recueille l'adresse e-mail et le mot de passe, les transmet au vrai point d'accès Microsoft pour que la connexion réussisse sans qu'aucune erreur visible n'apparaisse, puis stocke le cookie de session. Dans plusieurs cas, l'attaquant se connecte en quelques secondes et utilise la session légitime pour activer des règles de transfert de boîte de réception, créer de nouveaux consentements d'applications OAuth, et pivoter vers SharePoint et OneDrive avant même que l'utilisateur n'ait fermé l'onglet du navigateur. L'authentification à deux facteurs sur le compte de l'utilisateur ralentit certes la chose, mais ne l'arrête pas, car l'attaquant passe désormais par les vrais serveurs Microsoft avec une session valide.
Pourquoi le Wi-Fi des hôtels est particulièrement fragile
Le Wi-Fi public en général a toujours été risqué. Le Wi-Fi d'hôtel et de conférence est un cas particulier pour trois raisons. Premièrement, les équipements sont rarement mis à jour à un rythme soutenu. Les mises à jour de micrologiciel des passerelles sont poussées par les éditeurs sur un cycle trimestriel ou plus long, tandis que les équipes informatiques de l'hôtellerie ne disposent souvent d'aucun inventaire formel des actifs ni d'aucune surveillance des modifications de configuration inattendues. Deuxièmement, les réseaux sont partagés par des centaines d'inconnus sur une courte fenêtre de temps, ce qui offre à un attaquant une forte densité de cibles et une boucle de rétroaction rapide. Troisièmement, le portail captif signifie que le DNS transite généralement par un seul résolveur géré par l'éditeur, plutôt que par les résolveurs chiffrés que préfèrent les systèmes d'exploitation modernes. Lorsque ce résolveur est compromis, chaque client du réseau est compromis en même temps.
Les recommandations de Microsoft pour les cadres en déplacement pointent depuis longtemps ce risque. La vague actuelle est notable parce qu'elle semble cibler Microsoft 365 en particulier, plutôt que des identifiants bancaires ou grand public génériques. Cette orientation suggère que les attaquants visent la messagerie d'entreprise, les fichiers et les autorisations d'applications OAuth qui garantissent un accès persistant aux locataires SaaS bien après le départ de l'utilisateur.
Pourquoi un VPN reste la meilleure défense unique
Un VPN de confiance fait trois choses à la fois lorsque vous vous connectez à un Wi-Fi d'hôtel. Il déplace vos requêtes DNS du résolveur de la passerelle vers un résolveur que vous contrôlez ou que votre fournisseur VPN exploite, ce qui neutralise la version la plus directe de cette attaque. Il chiffre chaque paquet entre votre appareil et le serveur VPN, de sorte que la passerelle ne peut plus voir les noms d'hôte de destination que vous vous apprêtez à contacter. Et, s'il inclut un kill switch et une protection contre les fuites DNS, il empêche le système d'exploitation de retomber silencieusement sur le résolveur par défaut du réseau lorsque le tunnel VPN s'interrompt une seconde. Aucune de ces défenses n'est exotique ; ce sont des fonctionnalités standard des VPN grand public réputés depuis des années. La nouveauté, c'est qu'elles ne sont plus facultatives pour quiconque se connecte à un locataire Microsoft 365 depuis une chambre d'hôtel.
Il convient d'être précis sur ce qu'un VPN ne fait pas. Il ne vous protège pas si vous saisissez vos identifiants sur une page de phishing à travers le tunnel VPN lui-même. Si l'attaquant effectue une attaque de l'homme du milieu à un niveau supérieur, ou s'il a compromis un site de confiance, le VPN transmettra fidèlement le trafic. Il ne protège pas non plus un appareil déjà infecté par un logiciel malveillant avant la connexion, ni un appareil configuré pour faire confiance à un certificat racine malveillant installé par un précédent logiciel malveillant. Pour ces couches, vous avez besoin d'une protection des terminaux, de clés de sécurité matérielle et d'un scepticisme sain face à tout avertissement de certificat apparaissant dans un navigateur.
Dix étapes à suivre avant de vous connecter à un réseau d'hôtel
Connectez-vous à votre VPN avant d'ouvrir un navigateur, de vous authentifier sur le Wi-Fi ou d'accepter les conditions du portail captif. Le VPN doit être actif pendant que vous saisissez vos identifiants sur le portail lui-même.
Vérifiez que le kill switch et la protection contre les fuites DNS du VPN sont activés. Testez-les sur un autre réseau avant de voyager afin de savoir à quoi ressemble une défaillance du tunnel sur votre appareil.
Utilisez une clé de sécurité matérielle pour Microsoft 365 plutôt que des codes SMS ou applicatifs. Une clé FIDO2 ne peut pas être victime de phishing en temps réel, car le navigateur lie le défi au vrai domaine.
Désactivez la connexion automatique aux réseaux Wi-Fi ouverts sur votre ordinateur portable et votre téléphone. La plupart des systèmes d'exploitation rejoignent silencieusement un réseau portant le nom d'un hôtel ou d'un aéroport à proximité et exposent le trafic avant même que vous n'ouvriez un navigateur.
Utilisez le partage de connexion cellulaire de votre téléphone comme solution de secours lorsque le travail est sensible. Un téléphone moderne sur un réseau mobile est nettement moins exposé que la passerelle du hall.
Traitez tout avertissement de certificat inattendu comme un arrêt immédiat. Une page de connexion Microsoft 365 légitime sur un vrai domaine Microsoft ne produit jamais d'erreur de certificat dans un navigateur moderne.
Ouvrez une fenêtre de navigation privée pour le portail captif, afin que les cookies et paramètres de suivi du portail ne se propagent pas dans vos sessions de travail.
Examinez les règles de transfert de boîte de réception et les consentements d'applications OAuth sur votre compte Microsoft 365 le matin suivant votre déplacement. Les attaquants qui récoltent une session agissent souvent en quelques heures et tentent de persister en ajoutant des règles et des applications que vous ne remarquerez pas.
Maintenez votre ordinateur portable et votre téléphone entièrement à jour et redémarrez-les avant de quitter votre domicile. Une session propre avec un navigateur à jour est une cible plus petite qu'une session qui tourne depuis votre dernier redémarrage il y a un mois.
Si vous administrez un locataire Microsoft 365 d'entreprise, activez des stratégies d'accès conditionnel qui exigent un appareil conforme ou un réseau approuvé pour les connexions à haut risque. Combinées à des clés de sécurité, elles transforment un mot de passe volé en artefact inutile.
La tendance de fond et ce qu'elle implique pour 2026
Les détournements DNS dans les hôtels et les conférences ne constituent pas une nouvelle catégorie. La nouveauté en 2026, c'est l'accent mis sur Microsoft 365 et la rapidité avec laquelle les attaquants transforment un identifiant unique en accès persistant à travers un locataire SaaS. Le même mode opératoire est appliqué à d'autres fournisseurs d'identité fédérée, aux gestionnaires de mots de passe et aux concentrateurs VPN eux-mêmes. Le Wi-Fi public n'est plus une curiosité pour les équipes de sécurité. C'est un vecteur d'accès initial confirmé pour le type de compromission de messagerie d'entreprise qui domine les déclarations d'assurance et les notifications de violation cette année. Les voyageurs qui traitent chaque réseau d'hôtel comme hostile et qui superposent un VPN réputé avec une authentification multifacteur basée sur du matériel ne font tout simplement pas partie du bassin de victimes le plus facile. Tous les autres en font partie, et les campagnes actuellement en cours sont conçues pour les trouver.
Si vous ne retenez qu'une seule chose de cet article, retenez ceci : connectez d'abord votre VPN, faites confiance au portail captif en dernier, et ne laissez jamais un réseau d'hôtel voir votre mot de passe Microsoft 365 sans une clé de sécurité matérielle au bout de la connexion.
