Wi-Fi d'hôtel piraté : comment les hackers dérobent vos accès Microsoft 365

Le contexte : la vulnérabilité structurelle des réseaux Wi-Fi hôteliers

Les infrastructures réseau des établissements hôteliers et des centres de congrès sont conçues avant tout pour offrir une connectivité simple et rapide. Pour faciliter l'accès des clients, ces réseaux s'appuient souvent sur des configurations permissives et des portails captifs simplifiés. Cette quête de fluidité se fait malheureusement trop souvent au détriment de la sécurité informatique élémentaire.

Les équipements d'accès, tels que les passerelles Wi-Fi et les routeurs, reçoivent rarement des mises à jour régulières de leur micrologiciel. Gérés par des prestataires externes ou des équipes non spécialisées, ils présentent des vulnérabilités connues que les attaquants peuvent exploiter à distance. Un routeur obsolète devient ainsi une porte d'entrée idéale pour contrôler l'ensemble du trafic de l'établissement.

L'étude de ReliaQuest : une alerte majeure sur le détournement DNS

Dans leur rapport d'analyse d'octobre 2024, les chercheurs en sécurité de l'entreprise ReliaQuest ont mis en lumière une campagne d'attaque particulièrement sophistiquée. Ce document technique détaille comment des cybercriminels ont compromis des serveurs DNS locaux au sein d'hôtels pour cibler spécifiquement les voyageurs d'affaires. L'objectif principal de cette opération était de dérober des accès d'entreprise hautement sensibles.

L'étude démontre que les attaquants ne cherchent plus à infecter individuellement les ordinateurs par des logiciels malveillants. Ils préfèrent manipuler l'infrastructure réseau elle-même pour intercepter passivement les requêtes de connexion. Cette approche leur permet de toucher un grand nombre de cibles potentielles tout en minimisant les risques de détection par les antivirus traditionnels.

Le mécanisme technique de l'empoisonnement DNS

Le protocole DNS (Domain Name System) fait office d'annuaire pour Internet, traduisant les noms de domaine lisibles en adresses IP numériques. Lorsqu'un ordinateur se connecte au réseau Wi-Fi d'un hôtel, il interroge automatiquement le serveur DNS attribué par ce réseau pour résoudre les adresses des sites consultés. C'est ce mécanisme de confiance aveugle qui est exploité par les pirates.

L'empoisonnement DNS, ou détournement DNS, consiste à modifier la table de correspondance du serveur pour y associer de fausses adresses IP. Dans le cas de l'attaque identifiée par ReliaQuest, les requêtes vers les serveurs d'authentification de Microsoft ont été redirigées vers des serveurs contrôlés par les attaquants. L'utilisateur pense se connecter au site officiel alors que son trafic est dévoyé.

Cette redirection s'opère de manière totalement invisible pour le système d'exploitation de la victime. Aucun message d'erreur réseau n'apparaît, et la navigation semble fluide. Le navigateur web suit simplement les instructions de routage falsifiées fournies par la passerelle compromise de l'hôtel, établissant une liaison directe avec l'infrastructure hostile.

L'attaque Adversary-in-the-Middle (AiTM) et le vol de session

Une fois la redirection DNS active, les attaquants déploient une technique redoutable appelée Adversary-in-the-Middle (AiTM). Un serveur proxy intermédiaire, configuré par les pirates, se place entre l'ordinateur de la victime et les véritables serveurs de Microsoft. Ce proxy va servir de relais invisible pour intercepter l'ensemble des échanges d'authentification.

Lorsque le collaborateur tente d'accéder à son espace de travail, le proxy lui présente une copie parfaite de la page de connexion Microsoft 365. L'utilisateur saisit ses identifiants en toute confiance. Ces données sont capturées par le proxy, qui les transmet simultanément au véritable service de Microsoft pour valider la connexion et éviter de lever des doutes.

Le contournement de l'authentification multifacteur (MFA)

La force de cette attaque réside dans sa capacité à neutraliser les protections MFA classiques, comme les codes SMS ou les notifications d'application. Lorsque le véritable serveur Microsoft exige la validation MFA, le proxy des attaquants transmet cette demande à l'écran de la victime. L'utilisateur valide la notification sur son smartphone, pensant finaliser sa connexion légitime.

Une fois la validation effectuée, Microsoft génère un cookie de session chiffré pour autoriser l'accès sans exiger de reconnexion constante. Le proxy des attaquants intercepte ce cookie avant qu'il n'atteigne l'ordinateur de la victime. En important ce cookie dans leur propre navigateur, les pirates accèdent directement au compte Microsoft 365, contournant totalement l'étape de double authentification.

Outils de diagnostic réseau pour vérifier sa configuration

Pour les utilisateurs avertis et les administrateurs, il est possible de vérifier les paramètres réseau attribués par le routeur de l'hôtel. Sous Windows, l'invite de commandes permet d'identifier rapidement les serveurs DNS actifs grâce à la commande suivante :

ipconfig /all

Cette commande liste l'ensemble des cartes réseau et les adresses IP des serveurs DNS configurés. Une adresse DNS locale suspecte ou non reconnue doit immédiatement inciter à la prudence avant toute tentative de connexion à des services professionnels.

Pour aller plus loin et tester la résolution d'un domaine spécifique comme le portail d'authentification de Microsoft, vous pouvez utiliser l'utilitaire de diagnostic suivant :

nslookup login.microsoftonline.com

L'analyse du résultat permet de comparer l'adresse IP renvoyée par le serveur DNS local avec les adresses IP officielles de Microsoft. Toute divergence majeure indique une tentative de détournement en cours sur le réseau de l'établissement.

Les conséquences d'une compromission de session Microsoft 365

Une fois le cookie de session en possession des attaquants, les conséquences pour l'organisation peuvent être immédiates et sévères. Contrairement à un simple vol de mot de passe qui peut être bloqué par un changement de mot de passe rapide, une session compromise permet aux pirates d'agir directement au nom de l'utilisateur légitime pendant toute la durée de validité du cookie.

Les attaquants exploitent généralement cet accès pour fouiller la boîte de réception à la recherche d'informations financières, de contrats ou de discussions confidentielles. Ils configurent souvent des règles de redirection discrètes pour transférer automatiquement tous les e-mails entrants contenant des mots-clés spécifiques comme "facture", "paiement" ou "virement" vers des adresses externes.

Ce niveau d'accès facilite grandement les attaques d'ingénierie sociale, notamment la fraude au président ou la falsification de factures. En envoyant des messages depuis la véritable adresse e-mail du collaborateur compromis, les pirates bénéficient d'une crédibilité totale auprès des clients et des partenaires de l'entreprise, rendant la fraude extrêmement difficile à détecter.

Stratégies de détection pour les utilisateurs et les administrateurs

La détection de ces attaques repose sur une vigilance accrue et des outils de surveillance adaptés. Pour l'utilisateur en déplacement, le principal signal d'alerte provient des avertissements de sécurité du navigateur web. Si le serveur proxy des attaquants ne parvient pas à présenter un certificat SSL valide pour le domaine usurpé, le navigateur affichera une alerte de sécurité bloquante.

Il est impératif de ne jamais passer outre ces avertissements en cliquant sur des options de contournement. Un message indiquant que la connexion n'est pas privée ou que le certificat est invalide est le signe presque certain d'une interception de trafic. Dans ce cas, il convient de se déconnecter immédiatement du réseau Wi-Fi de l'hôtel.

Pour les administrateurs de flottes informatiques, la détection s'effectue au niveau de la console d'administration Microsoft Entra ID. Il convient de surveiller les journaux de connexion à la recherche d'anomalies de localisation, souvent qualifiées de déplacements impossibles. Une connexion établie depuis un pays inhabituel quelques minutes après une session légitime doit déclencher une alerte immédiate.

Comparatif des risques sur les réseaux Wi-Fi publics

Les réseaux Wi-Fi publics présentent plusieurs types de menaces pour les données de l'entreprise. Le tableau suivant synthétise les principaux risques identifiés et les mesures de protection associées pour sécuriser les accès des collaborateurs nomades :

La mise en œuvre du DNS chiffré en environnement professionnel

Le déploiement du DNS-over-HTTPS (DoH) constitue une barrière technique efficace contre l'empoisonnement DNS. Ce protocole encapsule les requêtes DNS classiques dans un flux HTTPS chiffré standard sur le port 443. Pour les équipements réseau intermédiaires, ce trafic est indiscernable d'une navigation web sécurisée classique, empêchant toute tentative d'interception ou de modification.

Pour les entreprises, la configuration du DoH peut être centralisée via des stratégies de groupe (GPO) ou des outils de gestion des terminaux (MDM). En imposant l'utilisation de résolveurs DNS sécurisés et réputés, l'administrateur garantit que même en déplacement, les ordinateurs portables de la flotte n'utiliseront pas les serveurs DNS non sécurisés fournis par les hôtels.

Cette configuration protège également la vie privée des collaborateurs en déplacement. Sur un réseau Wi-Fi public, n'importe quel utilisateur malveillant ou administrateur du réseau peut normalement observer la liste des domaines consultés en analysant les requêtes DNS en clair. Le chiffrement des requêtes DNS supprime cette fuite d'informations critique.

Mesures de protection pour sécuriser les collaborateurs nomades

La sécurisation des accès distants ne peut reposer uniquement sur la vigilance des utilisateurs. Les entreprises doivent déployer des mesures techniques d'accompagnement pour neutraliser ces menaces à la source. La première recommandation consiste à imposer l'usage systématique d'un réseau privé virtuel (VPN) d'entreprise dès que le collaborateur se connecte à un réseau tiers.

Le VPN crée un tunnel chiffré étanche entre l'ordinateur et le réseau de l'entreprise, acheminant l'ensemble du trafic de manière sécurisée. Les requêtes DNS sont alors résolues par les serveurs sécurisés du VPN, contournant totalement les serveurs DNS potentiellement corrompus de l'hôtel. Cette mesure simple neutralise instantanément les tentatives de détournement DNS.

Une autre solution consiste à configurer les protocoles DNS-over-HTTPS (DoH) ou DNS-over-TLS (DoT) sur les navigateurs et les systèmes d'exploitation de la flotte. Ces protocoles chiffrent les requêtes DNS pour empêcher leur interception ou leur modification par des équipements réseau intermédiaires. Cela garantit que les requêtes atteignent des résolveurs de confiance comme ceux de Cloudflare ou de Google.

Enfin, l'adoption de clés de sécurité physiques basées sur le standard FIDO2 offre la protection la plus robuste contre les attaques AiTM. Contrairement aux applications d'authentification classiques, ces clés physiques lient l'authentification au domaine web réel affiché dans le navigateur. Si l'utilisateur se trouve sur un faux site de connexion, la clé refusera de transmettre les données d'authentification, bloquant net l'attaque.

Conclusion : une approche globale de la sécurité nomade

Le piratage des réseaux Wi-Fi d'hôtels rappelle que la sécurité informatique ne s'arrête pas aux frontières physiques de l'entreprise. Les cybercriminels exploitent habilement les faiblesses des infrastructures tierces pour cibler les maillons les plus exposés. Face à des attaques aussi sophistiquées que le détournement DNS combiné au proxy inverse, seule une approche de défense en profondeur s'avère efficace.

La sensibilisation des collaborateurs, l'implémentation de solutions techniques rigoureuses comme le VPN et le DNS chiffré, ainsi que la surveillance active des accès sont indispensables pour protéger le patrimoine informationnel de l'organisation. Pour approfondir ces sujets et découvrir d'autres analyses techniques, vous pouvez consulter notre blog ou explorer l'ensemble de nos services informatiques. En cas de suspicion de compromission d'un poste de travail après un déplacement, un diagnostic approfondi via un service de dépannage informatique à Sigean permet de nettoyer l'appareil et de restaurer une configuration saine.

Questions fréquentes

Sources

• PCMag - Hacked Hotel Wi-Fi Used to Steal Guests' Logins