Le Wi-Fi de l'hôtel prend vos comptes Microsoft 365, sans e-mail de phishing

Un commercial part deux jours en salon. Il ouvre son portable dans la chambre d'hôtel, se connecte au Wi-Fi, tape son mot de passe Microsoft 365, valide la notification sur son téléphone. Tout s'est passé normalement. Son compte appartient maintenant à quelqu'un d'autre.

C'est le scénario que ReliaQuest a documenté le 24 juillet. La campagne tourne depuis juin au moins, sur des passerelles Wi-Fi d'hôtels et de centres de conférences, dans plusieurs villes américaines mais aussi en Inde et en Arabie saoudite. Les organisations dont le trafic a été observé couvrent la finance, le juridique, la santé, l'énergie et le commerce — ce qui indique que les attaquants ne visent pas un secteur, ils visent les gens qui voyagent.

Comment ça marche

Le point d'entrée n'a rien d'exotique. Les passerelles de portail captif exposent souvent leur interface d'administration : SSH, SNMP, console web. ReliaQuest estime que l'accès initial repose sur ces interfaces jointes à des mots de passe administrateur faibles ou réutilisés. Le matériel réseau d'un hôtel est rarement dans le périmètre de quelqu'un.

Une fois la passerelle prise, les attaquants modifient sa configuration DNS. Les clients qui se connectent au Wi-Fi héritent de ce DNS. Quand le portable demande l'adresse d'un service Microsoft, il obtient celle du serveur des attaquants et atterrit sur un faux portail d'authentification. Les domaines relevés sont du genre m365-owa.com, owa-ms365.com, ms365-device.com, ms365-live.com : assez proches pour qu'on ne s'arrête pas dessus dans un hall d'hôtel à 19 h.

Un détail à retenir : configurer un DNS public sur le poste, type 8.8.8.8, ne règle rien. La passerelle voit passer la requête et peut y répondre à la place du serveur légitime.

Pourquoi la MFA ne sauve pas

C'est la partie qui mérite qu'on s'y arrête, parce qu'elle contredit ce qu'on répète depuis cinq ans.

Sur une partie des cas, les attaquants n'essaient pas de voler le mot de passe. Ils déclenchent le flux d'authentification par code d'appareil de Microsoft, le device code flow, prévu à l'origine pour connecter des équipements sans clavier : une télévision, une imprimante, un boîtier de visioconférence. Le principe est qu'un appareil affiche un code, l'utilisateur le saisit sur un autre appareil déjà authentifié, et l'appareil sans clavier reçoit un jeton.

Détourné, ça donne ceci : la page piégée affiche un code, le collaborateur le valide de bonne foi avec son compte et sa MFA, et le jeton OAuth part vers la session ouverte par l'attaquant. Le mot de passe n'a jamais transité. La double authentification a fonctionné — elle a validé la mauvaise session. Microsoft délivre un jeton parfaitement légitime.

Aucun contrôle basé sur « le mot de passe a-t-il fuité » ne verra ça.

Ce qu'une PME peut faire cette semaine

Trois mesures, par ordre de rapport efficacité sur effort.

Le VPN toujours actif, en tunnel complet. C'est la recommandation principale de ReliaQuest et c'est celle qui neutralise la chaîne entière : si tout le trafic du portable, DNS compris, part chiffré vers votre réseau avant de toucher quoi que ce soit chez l'hôtel, la passerelle compromise n'a plus rien à détourner. Sur un parc en Microsoft 365 avec des postes gérés par Intune, ça se pousse par stratégie.

Désactiver le flux device code. Dans Entra ID, une stratégie d'accès conditionnel permet de bloquer ce flux d'authentification. La question à se poser : dans une structure de trente personnes, qui a réellement besoin de connecter un appareil sans clavier à Microsoft 365 ? Si la réponse est « la salle de réunion et c'est tout », on autorise pour ce compte et on ferme pour les autres.

Désactiver WPAD. La découverte automatique de proxy est un autre chemin d'interception sur un réseau hostile, et elle ne sert plus à grand-chose sur un poste moderne.

Et une habitude qui ne coûte rien : partage de connexion depuis le téléphone plutôt que Wi-Fi d'hôtel, quand le forfait le permet. La méthode a ses limites, mais elle retire de l'équation le maillon que les attaquants ont choisi précisément parce que personne ne le surveille.