Microsoft affirme qu’un groupe lié à la Russie détourne depuis début mai des réseaux Wi‑Fi d’hôtels, de centres de conférence et d’autres lieux partagés dans plusieurs pays, redirigeant discrètement le trafic des clients via des serveurs contrôlés par les pirates afin de voler des identifiants ou d’installer des logiciels malveillants sans que les voyageurs ne s’en aperçoivent. La campagne, baptisée CaptiveCrunch, serait menée par le groupe Storm‑2945, rattaché à l’opération d’État russe connue sous les noms Midnight Blizzard, APT29 ou Cozy Bear.
Microsoft a indiqué qu’il n’avait pas communiqué de chiffres sur le nombre d’utilisateurs ou d’organisations touchés et a déclaré n’avoir « rien de plus à ajouter » en renvoyant vers son billet de blog sur le sujet. « To date, Microsoft has identified widespread compromise of WiFi networks at hospitality-related organisations and other networks serviced by captive portal equipment in several countries, » indique par ailleurs un rapport de la société. « ReliaQuest has identified this activity not only at hotels, but also conference centres and other shared venues, and assesses that the goal of this activity is to access the accounts of corporate travellers. »
Comment les réseaux Wi‑Fi d’hôtels sont détournés
Le modus operandi consiste à détourner les portails captifs et à rediriger le trafic Internet des clients vers des serveurs contrôlés par les attaquants. Certains pages d’atterrissage CaptiveCrunch vont plus loin en usurpant le processus légitime de connexion aux appareils Microsoft : l’attaquant déclenche une connexion de son côté puis demande à la victime d’entrer un code sur la vraie page de connexion Microsoft. Pendant que la victime croit ouvrir sa session, elle approuve en réalité celle de l’attaquant, déjà validée par l’authentification multifactorielle puisque la victime vient de la réaliser.
Selon les spécialistes, cette technique fonctionne aussi parce qu’un code caché s’exécute sur l’appareil de l’utilisateur et extrait des jetons de connexion actifs temporairement stockés en mémoire. Ces jetons, conçus pour expirer après un certain temps afin d’éviter des saisies répétées de mot de passe, peuvent une fois volés être réutilisés sans déclencher de nouvelle vérification d’identité, rendant ainsi l’appareil compromis facile à exploiter.
Pourquoi les voyageurs ne remarquent souvent rien
Louis Eichenbaum, federal chief technology officer chez ColorTokens, explique que la méthode tire parti du fait que « les voyageurs d’affaires sont conditionnés à s’attendre à des pages de connexion inconnues, des avertissements de certificat et des invites réseau lorsqu’ils se connectent à un Wi‑Fi public. Cela crée un environnement où une activité malveillante se fond dans le comportement normal. »
Les lieux ciblés concentrent par ailleurs des cibles à haute valeur : représentants gouvernementaux, acteurs des infrastructures critiques, de la défense, de la santé, de la finance et de la technologie. Un seul réseau sans fil compromis peut ainsi donner accès à des centaines voire des milliers de victimes potentielles, ce qui rend ces sites particulièrement attractifs pour ce type d’opération.
Conseils pour les voyageurs
Les experts recommandent plusieurs précautions simples : utiliser un VPN actif en permanence, réfléchir avant de cliquer sur des liens et maintenir les logiciels de son appareil à jour. Matt Radolec, field chief technology officer chez Varonis, insiste : « Ils sont des réseaux publics destinés aux clients pour naviguer et faire ce qu’ils veulent » — autrement dit, ne jamais supposer qu’un Wi‑Fi public est sûr ni que les sites consultés via ce réseau le sont.
L’ensemble des éléments publiés par Microsoft et les analyses évoquées indiquent un déplacement des tactiques des attaquants, qui favorisent désormais le compromis des processus d’authentification plutôt que le simple phishing par e-mail, profitant des faiblesses de supervision et de la nature ouverte des réseaux hôteliers et de centres de conférence.
