Détournement DNS Wi-Fi hôtelier : une menace réelle pour vos identifiants Microsoft 365

Orphée Grandsable

Une campagne de cyberattaque exploitant les réseaux Wi-Fi des hôtels et centres de conférence cible les identifiants Microsoft 365 des voyageurs d’affaires. Selon un rapport de la société de cybersécurité ReliaQuest, les pirates modifient les paramètres DNS des passerelles Wi-Fi pour rediriger les utilisateurs vers des pages de connexion factices. Cette menace, active depuis au moins juin 2026, touche des secteurs variés comme la finance, la santé, l’énergie ou le conseil. Comprendre le mécanisme de cette attaque est essentiel pour protéger vos données professionnelles.

Comprendre le détournement DNS Wi-Fi hôtelier

Qu’est-ce qu’une attaque DNS hijacking ?

Le DNS (Domain Name System) est l’annuaire d’Internet. Il traduit les noms de domaine (comme login.microsoftonline.com) en adresses IP. Dans une attaque de détournement DNS, l’attaquant modifie les paramètres DNS d’un routeur ou d’une passerelle Wi-Fi. Lorsqu’un utilisateur tente d’accéder à un site légitime, il est redirigé vers un serveur malveillant contrôlé par le pirate. Cette technique est particulièrement dangereuse car elle est transparente pour la victime.

Le scénario spécifique aux hôtels

Dans le cadre de cette campagne, les attaquants ciblent les équipements Wi-Fi des hôtels et des centres de conférence. Ces lieux accueillent des professionnels qui se connectent avec leurs appareils professionnels (ordinateurs portables, smartphones) pour travailler. En compromettant la passerelle Wi-Fi, les pirates peuvent intercepter les connexions à Microsoft 365, la suite bureautique cloud la plus utilisée en entreprise.

“Nous avons observé du trafic vers ces passerelles compromises provenant d’organisations de divers secteurs, notamment les services financiers, les services professionnels, le juridique, la santé, l’énergie et la vente au détail - confirmant qu’il ne s’agit pas d’un ciblage sectoriel spécifique, mais d’une campagne qui vise très probablement les employés en déplacement où qu’ils se connectent.” - ReliaQuest

L’ampleur de la menace

Les passerelles compromises ont été identifiées dans plusieurs villes américaines, ainsi qu’en Inde et en Arabie Saoudite. Les secteurs touchés sont variés : services financiers, services professionnels, juridique, santé, énergie et vente au détail. Selon ReliaQuest, cette activité ressemble aux campagnes FrostArmada attribuées au groupe d’espionnage russe APT28 (également connu sous les noms de Fancy Bear ou Forest Blizzard).

Le mécanisme de l’attaque en détail

Comment les pirates accèdent-ils aux passerelles Wi-Fi ?

Le mode d’accès initial aux équipements Wi-Fi n’est pas encore totalement élucidé. ReliaQuest avance plusieurs hypothèses :

  • Exploitation d’interfaces de gestion faiblement protégées : SSH, SNMP, interfaces d’administration web exposées sur Internet.
  • Mots de passe par défaut ou faibles : de nombreux équipements professionnels sont livrés avec des identifiants par défaut rarement modifiés.
  • Vulnérabilités logicielles : des failles de sécurité non corrigées dans le firmware des routeurs ou des points d’accès.

La modification des paramètres DNS

Une fois l’accès administrateur obtenu, l’attaquant modifie les paramètres DNS de la passerelle. Au lieu d’utiliser les serveurs DNS légitimes (comme ceux du fournisseur d’accès ou Google 8.8.8.8), le routeur redirige les requêtes DNS vers des serveurs contrôlés par le pirate. ReliaQuest a identifié au moins quatre domaines enregistrés pour mettre en place des portails de connexion Microsoft 365 factices :

  • m365-owa[.]com
  • owa-ms365[.]com
  • ms365-device[.]com
  • ms365-live[.]com

La redirection vers des pages de phishing

Lorsqu’un utilisateur tente d’accéder à login.microsoftonline.com ou à portal.office.com, la requête DNS est interceptée. Au lieu d’obtenir l’adresse IP légitime, l’utilisateur est redirigé vers l’une des pages factices. Ces pages sont conçues pour ressembler parfaitement à l’interface de connexion Microsoft 365. L’utilisateur, pensant se connecter normalement, saisit son identifiant et son mot de passe.

Le contournement de l’authentification multifacteur (MFA)

Dans certains cas, les chercheurs ont observé un flux d’authentification par code d’appareil (device-code authentication flow). La victime est redirigée vers une page Microsoft factice affichant une invite. Ce que l’utilisateur ne voit pas, c’est que l’approbation de cette invite autorise une session initiée par l’attaquant. En approuvant la demande, la victime génère un jeton OAuth légitime qui est transmis au client de l’attaquant. Ce mécanisme permet de contourner la protection MFA sans voler d’identifiants ni intercepter de jetons d’accès.

“Ce que l’utilisateur ne peut pas voir, c’est que l’approbation de l’invite autorise une session initiée par l’attaquant.” - ReliaQuest

L’exploitation du WPAD (Web Proxy Auto-Discovery)

Dans environ un tiers des cas étudiés, les attaquants ont également tenté d’abuser du mécanisme WPAD. Le WPAD permet aux navigateurs Windows de découvrir automatiquement un fichier de configuration de proxy (PAC). En répondant à cette requête automatique avec un fichier PAC malveillant, les pirates pouvaient théoriquement rediriger tout le trafic des applications Windows, y compris Chrome, via un proxy contrôlé. ReliaQuest n’a pas pu confirmer que ces attaques aient réussi, mais le risque existe.

Pourquoi les mesures de sécurité habituelles sont inefficaces

Les limites des DNS publics

Une idée reçue courante est que l’utilisation de serveurs DNS publics comme Google (8.8.8.8) ou Cloudflare (1.1.1.1) protège contre ce type d’attaque. En réalité, cela est faux. Comme l’explique ReliaQuest, la passerelle Wi-Fi compromise peut forger les requêtes DNS en texte clair avant qu’elles n’atteignent le résolveur DNS public. Le trafic est intercepté au niveau du routeur, bien avant de sortir sur Internet.

Les limites des VPN classiques

Même un VPN peut être contourné si la configuration n’est pas adaptée. Un VPN qui n’utilise pas un tunnel complet (full-tunnel) peut laisser passer certaines requêtes DNS en dehors du tunnel chiffré. De plus, si le VPN est configuré en mode fractionné (split-tunnel), le trafic DNS peut être redirigé localement.

Comment se protéger efficacement

Utiliser un VPN avec tunnel complet et DNS chiffré

La recommandation principale de ReliaQuest est d’utiliser un VPN toujours actif (always-on VPN) avec un tunnel complet. Cela signifie que tout le trafic, y compris les requêtes DNS, passe par le tunnel VPN chiffré. De plus, il est essentiel d’activer le DNS chiffré en mode strict. Le DNS over HTTPS (DoH) ou le DNS over TLS (DoT) empêchent l’interception et la modification des requêtes DNS.

Désactiver le WPAD

Le protocole WPAD est une fonctionnalité héritée qui présente peu d’intérêt dans les environnements modernes. Sa désactivation est recommandée pour réduire la surface d’attaque. Sous Windows, cela peut se faire via les paramètres de proxy ou par stratégie de groupe.

Désactiver le flux d’authentification par code d’appareil

Microsoft Entra ID (anciennement Azure Active Directory) permet le flux d’authentification par code d’appareil. Si cette fonctionnalité n’est pas nécessaire, il est fortement conseillé de la désactiver. Cela empêche les attaquants d’utiliser ce mécanisme pour contourner la MFA.

Auditer les journaux et surveiller les connexions suspectes

Les équipes de sécurité doivent examiner régulièrement les journaux de connexion Microsoft 365. Les signes d’une compromission peuvent inclure :

  • Des connexions depuis des adresses IP inhabituelles.
  • Des authentifications réussies sans MFA.
  • Des demandes de jeton OAuth suspectes.
  • Des modifications de paramètres de boîte aux lettres ou de règles de transfert.

Mise en œuvre : étapes actionnables pour les entreprises

Étape 1 : Évaluer les risques et sensibiliser les employés

  1. Identifier les employés mobiles : dressez la liste des collaborateurs qui voyagent fréquemment et se connectent à des réseaux Wi-Fi publics ou hôteliers.
  2. Sensibiliser : organisez une session de formation sur les risques liés aux réseaux Wi-Fi non sécurisés. Expliquez le mécanisme de l’attaque et les bonnes pratiques.
  3. Diffuser une consigne claire : exigez l’utilisation systématique du VPN d’entreprise avant toute connexion à un réseau externe.

Étape 2 : Renforcer la configuration technique

  1. Déployer un VPN full-tunnel : assurez-vous que le VPN d’entreprise est configuré en mode tunnel complet. Vérifiez que les requêtes DNS sont bien acheminées via le tunnel.
  2. Activer le DNS chiffré en mode strict : configurez les postes de travail pour utiliser le DNS over HTTPS (DoH) avec un résolveur de confiance (Cloudflare, Quad9, etc.).
  3. Désactiver le WPAD : via une stratégie de groupe Windows, désactivez la découverte automatique du proxy.
  4. Désactiver le flux d’authentification par code d’appareil : dans Microsoft Entra ID, accédez aux paramètres d’authentification et désactivez cette méthode si elle n’est pas utilisée.

Étape 3 : Mettre en place une surveillance proactive

  1. Configurer des alertes : dans Microsoft 365 Defender, créez des alertes pour les connexions depuis des adresses IP inhabituelles ou des pays non attendus.
  2. Analyser les journaux : examinez régulièrement les journaux de connexion Azure AD pour détecter des anomalies.
  3. Utiliser un outil de détection des compromissions : des solutions comme Microsoft Defender for Identity peuvent aider à identifier les comportements suspects.

Étape 4 : Tester régulièrement les défenses

  1. Simuler une attaque : réalisez des tests d’intrusion ou des simulations d’attaque pour valider l’efficacité des mesures de protection.
  2. Auditer les configurations : vérifiez que les paramètres de sécurité (VPN, DNS, WPAD, MFA) sont correctement appliqués.
  3. Mettre à jour les équipements : assurez-vous que les routeurs et points d’accès Wi-Fi utilisés par l’entreprise sont à jour et que les interfaces de gestion ne sont pas exposées inutilement.

Conclusion : une vigilance accrue pour les voyageurs d’affaires

Le détournement DNS Wi-Fi hôtelier est une menace sérieuse et bien orchestrée. Les attaquants ciblent spécifiquement les professionnels en déplacement pour voler leurs identifiants Microsoft 365 et accéder à des données sensibles. La sophistication de l’attaque, notamment le contournement de la MFA via le flux d’authentification par code d’appareil, montre que les mesures de sécurité traditionnelles ne suffisent plus. La protection repose sur une combinaison de bonnes pratiques : utilisation systématique d’un VPN full-tunnel, activation du DNS chiffré, désactivation des protocoles obsolètes comme le WPAD, et surveillance active des connexions. Les entreprises doivent intégrer ces recommandations dans leur politique de sécurité pour protéger leurs collaborateurs en déplacement. La question n’est plus de savoir si une telle attaque se produira, mais quand. Êtes-vous prêt à y faire face ?