CaptiveCrunch est une campagne attribuée par Microsoft à Storm-2945, un sous-groupe de Midnight Blizzard. Depuis début mai 2026, l’acteur manipule le trafic de réseaux Wi-Fi à portail captif pour rediriger des voyageurs vers des pages de phishing, des demandes de code d’appareil ou de fausses mises à jour. Les données visées incluent les mots de passe, les cookies de session et les jetons Microsoft 365. Microsoft dit également avoir observé l’usage de l’IA dans une part importante des opérations, sans détailler chaque tâche concernée.
Le conseil immédiat : utilisez de préférence un partage de connexion pour les tâches sensibles, ne lancez jamais une mise à jour proposée par le portail et refusez tout code d’appareil ou demande MFA inattendue. Un portail légitime peut lui-même être compromis; cela ne signifie pas que tous les Wi-Fi d’hôtel le sont.
Ce qu’observe Microsoft
Le 31 juillet 2026, Microsoft Threat Intelligence a nommé CaptiveCrunch une campagne observée depuis début mai sur des réseaux d’hôtellerie utilisant des portails captifs. Microsoft attribue l’activité à Storm-2945, qu’il classe comme sous-groupe de Midnight Blizzard. Son analyse indique que les voyageurs professionnels peuvent être visés dans des hôtels, des centres de conférences et d’autres lieux partageant ce type d’infrastructure.
Microsoft cite aussi le rapport de ReliaQuest du 23 juillet comme ayant décrit une partie de l’activité liée au phishing par code d’appareil. ReliaQuest relève par ailleurs des similitudes de méthodes avec FrostArmada, une campagne associée à Forest Blizzard/APT28, mais précise qu’elle n’a pas établi de lien technique direct. Il faut donc distinguer cette comparaison de méthodes de l’attribution de CaptiveCrunch à Storm-2945 formulée par Microsoft.
Le rapport de Lumen publié le 20 août apporte un autre éclairage à partir de sa télémétrie réseau : il recense près de 70 adresses IP liées aux différentes étapes observées, dont une trentaine communiquant avec l’infrastructure de phishing « adversary-in-the-middle ». Ce décompte porte sur des adresses IP, pas sur un nombre confirmé d’hôtels, de personnes ou d’appareils infectés. Lumen estime avec une confiance modérée que des prestataires informatiques auraient pu être compromis en amont ; cette hypothèse n’est pas présentée par Microsoft comme le vecteur initial établi.
Le point important n’est pas de conclure que tous les Wi-Fi d’hôtel sont dangereux. C’est de comprendre qu’un réseau peut être authentique, fourni par le bon établissement, tout en présentant une page contrôlée par un attaquant si l’équipement qui gère le portail a été compromis.
Le portail captif comme point de confiance
Quand un ordinateur ou un téléphone rejoint un Wi-Fi public, le réseau lui indique où trouver certains services, dont la page de connexion. Cette étape est normalement transparente. Dans CaptiveCrunch, Microsoft a observé des manipulations DNS et HTTP permettant de rediriger les utilisateurs vers une infrastructure contrôlée par l’attaquant.
Plusieurs suites ont été observées : une fausse mise à jour du navigateur ou du système, une page Microsoft 365 conçue pour capturer des identifiants, et, depuis le 16 juillet, un abus du flux d’authentification par code d’appareil. Microsoft indique ne pas avoir établi le vecteur initial de compromission des réseaux captifs. ReliaQuest avance, avec un niveau de confiance faible à modéré, l’hypothèse d’interfaces d’administration exposées et de mots de passe administrateur faibles ou réutilisés ; ses propres limites de visibilité l’empêchent de la confirmer.
Le simple fait de rejoindre un réseau ne prouve donc pas qu’un logiciel malveillant a été installé. Microsoft décrit des leurres qui cherchent à convaincre l’utilisateur de télécharger et d’exécuter un fichier ou une commande, tandis que le vol d’identifiants ou l’authentification par code d’appareil suivent d’autres chemins.
Microsoft décrit notamment CornFlake, un logiciel d’accès à distance pour Windows, et ChocoShell, un voleur de données exécuté en mémoire. Le second vise les cookies de session, les mots de passe enregistrés dans les navigateurs, les jetons SSO Microsoft 365 et les identifiants Wi-Fi. L’incident dépasse donc le simple vol d’un mot de passe saisi dans une fausse page : une session déjà ouverte peut aussi devenir exploitable.
Pourquoi la page peut sembler crédible
Une page qui apparaît juste après la connexion au Wi-Fi bénéficie du contexte : l’utilisateur s’attend à devoir cliquer, accepter ou patienter. Il peut alors interpréter une demande de mise à jour comme une étape normale du réseau.
Le flux de code d’appareil est encore plus trompeur. C’est une fonction légitime de Microsoft pour connecter certains appareils, mais l’attaquant peut lancer une demande puis convaincre la victime d’entrer son code sur le vrai site de connexion. La page est authentique ; la session autorisée est celle de l’attaquant. La MFA peut être satisfaite dans ce processus et ne suffit donc pas à identifier l’initiateur. Microsoft recommande de bloquer le flux si l’organisation ne l’utilise pas, ou de l’encadrer avec des règles d’accès conditionnel après avoir vérifié les usages légitimes.
Les réflexes à transmettre à une équipe
En déplacement, une règle simple évite la plupart des scénarios décrits : un portail captif peut demander l’accès au réseau, jamais une mise à jour du système, un mot de passe professionnel, un code Microsoft ou une validation MFA inattendue.
Concrètement :
- Utilisez le partage de connexion de votre téléphone pour les opérations sensibles, ou un VPN complet déjà configuré par votre organisation.
- N’installez aucun logiciel et n’exécutez aucune commande proposée par une page apparue après la connexion au Wi-Fi.
- Refusez toute demande de code d’appareil ou de validation MFA que vous n’avez pas commencée vous-même.
- Si une connexion professionnelle est nécessaire, ouvrez directement le favori habituel depuis un appareil à jour, puis vérifiez le domaine et le contexte de la demande.
- Signalez immédiatement à l’équipe informatique toute page inhabituelle, même si vous n’avez finalement rien installé.
Que faire après une fausse mise à jour ou une demande de code
Si un collaborateur a installé un fichier, exécuté une commande ou validé un code d’appareil inattendu, traitez l’appareil et les comptes utilisés comme potentiellement compromis. Isolez le poste selon la procédure de l’organisation; depuis un appareil sain, révoquez les sessions et jetons concernés, réinitialisez les secrets qui ont pu être collectés et contactez l’équipe informatique. Faites examiner l’appareil avant de le reconnecter. Les voleurs d’identifiants peuvent prendre des cookies et des jetons en plus des mots de passe : changer uniquement le mot de passe ne révoque pas nécessairement une session active.
Notre guide sur les infostealers détaille le confinement et la révocation. Pour un autre exemple de vol d’identifiants de navigateur, lisez l’analyse d’un infostealer qui contourne le chiffrement des données de Chrome.
Le lien avec Soclyde
Pour une TPE-PME, un ordinateur utilisé en déplacement peut réunir les accès à la messagerie, à la facturation, au CRM et aux outils d’administration. Un jeton de session volé peut permettre de réutiliser une connexion déjà ouverte; un mot de passe réutilisé peut aussi exposer plusieurs comptes.
Soclyde peut aider à générer des mots de passe distincts et à les conserver dans un coffre chiffré local-first, plutôt que dans un coffre cloud centralisé exploité par Soclyde. Des secrets uniques évitent qu’un mot de passe réutilisé ouvre d’autres comptes. En revanche, le coffre ne sécurise pas le Wi-Fi public, n’empêche pas l’infection d’un appareil et ne bloque pas le vol de cookies ou de jetons lorsque ceux-ci sont utilisés sur un poste compromis. Pour comparer les choix de stockage, consultez le guide sur les gestionnaires de mots de passe local-first.
À retenir
Le risque CaptiveCrunch vient de l’enchaînement entre réseau d’invités, redirection, confiance accordée au portail et exécution ou validation d’une demande. Refusez les mises à jour et authentifications inattendues; si une action a été faite, isolez le poste et révoquez les sessions depuis un appareil sain. Contactez Soclyde pour parler de la gestion de vos accès.
