Une connexion qui semble normale
Le 31 juillet 2026, Microsoft Threat Intelligence a publié une analyse d’une campagne baptisée CaptiveCrunch. Depuis le début du mois de mai, les attaquants manipulent le trafic de réseaux équipés de portails captifs, notamment dans l’hôtellerie. Le scénario concerne aussi des centres de conférences et d’autres lieux partagés : les premiers éléments rapportés par ReliaQuest, repris par la presse spécialisée, indiquent que les voyageurs professionnels sont une cible privilégiée.
Le point important n’est pas de conclure que tous les Wi-Fi d’hôtel sont dangereux. C’est de comprendre qu’un réseau peut être authentique, fourni par le bon établissement, tout en présentant une page contrôlée par un attaquant si l’équipement qui gère le portail a été compromis.
Le portail captif comme point de confiance
Quand un ordinateur ou un téléphone rejoint un Wi-Fi public, le réseau lui indique où trouver certains services, dont la page de connexion. Cette étape est normalement transparente. Dans CaptiveCrunch, Microsoft a observé des manipulations DNS et HTTP permettant de rediriger les utilisateurs vers une infrastructure contrôlée par l’attaquant.
Plusieurs suites ont été observées : une fausse mise à jour du navigateur ou du système, une page Microsoft 365 conçue pour capturer des identifiants, et, depuis le 16 juillet, un abus du flux d’authentification par code d’appareil. Les logiciels distribués pouvaient collecter des fichiers, des frappes, des identifiants et des jetons de session.
Pourquoi la page peut sembler crédible
Une page qui apparaît juste après la connexion au Wi-Fi bénéficie du contexte : l’utilisateur s’attend à devoir cliquer, accepter ou patienter. Il peut alors interpréter une demande de mise à jour comme une étape normale du réseau.
Le flux de code d’appareil est encore plus trompeur. Il s’agit d’une fonction légitime de Microsoft, mais l’attaquant peut fournir un code et convaincre la victime de le saisir sur le vrai site de connexion. La page est authentique ; c’est la session qui est celle de l’attaquant. Une MFA validée dans ce contexte ne signifie donc pas que la demande était légitime.
Les réflexes à transmettre à une équipe
En déplacement, une règle simple évite la plupart des scénarios décrits : un portail captif peut demander l’accès au réseau, jamais une mise à jour du système, un mot de passe professionnel, un code Microsoft ou une validation MFA inattendue.
Concrètement :
- Utilisez le partage de connexion de votre téléphone pour les opérations sensibles, ou un VPN complet déjà configuré par votre organisation.
- N’installez aucun logiciel et n’exécutez aucune commande proposée par une page apparue après la connexion au Wi-Fi.
- Refusez toute demande de code d’appareil ou de validation MFA que vous n’avez pas commencée vous-même.
- Si une connexion professionnelle est nécessaire, ouvrez directement le favori habituel depuis un appareil à jour, puis vérifiez le domaine et le contexte de la demande.
- Signalez immédiatement à l’équipe informatique toute page inhabituelle, même si vous n’avez finalement rien installé.
Ce que cela change pour une TPE-PME
La sécurité ne s’arrête pas au bureau. Un collaborateur en déplacement concentre souvent plusieurs accès sensibles sur un seul ordinateur : messagerie, facturation, CRM, stockage de documents et outils d’administration. Un jeton de session ou un mot de passe volé peut donc avoir plus de valeur que l’appareil lui-même.
La réduction de l’impact passe par des secrets uniques, une MFA résistante au phishing quand elle est disponible, des sessions courtes et la capacité à révoquer rapidement les accès. Soclyde peut aider sur la partie gestion des secrets : générer des mots de passe différents pour chaque service et les conserver dans un coffre local-first. Cela ne sécurise pas le Wi-Fi public ni la configuration Microsoft 365, mais limite les effets d’une compromission et évite de centraliser tous les identifiants dans un dépôt cloud.
Pour revoir les pratiques de votre équipe, consultez le guide Soclyde sur les gestionnaires de mots de passe local-first.
