Une nouvelle variante d’un vieux risque lié au Wi-Fi public

Des chercheurs en sécurité ont identifié un acteur malveillant qui pirate les passerelles Wi-Fi publiques – le matériel derrière les portails captifs que l’on voit dans les aéroports, les hôtels, les cafés et les centres de conférence – afin de récolter des identifiants professionnels Microsoft 365. Plutôt que de créer un faux point d’accès ou d’usurper une page de connexion de toutes pièces, l’attaquant compromet l’infrastructure légitime que les entreprises et les établissements utilisent déjà pour authentifier leurs clients avant de leur donner accès à Internet.

C’est important, car les portails captifs font partie des éléments les plus fiables, et les moins examinés, de l’expérience Wi-Fi publique. Chaque jour, des millions de voyageurs cliquent sans arrière-pensée sur ces pages « accepter les conditions et se connecter ». Si la passerelle elle-même a été détournée, la page de collecte d’identifiants que voit l’utilisateur peut paraître parfaitement authentique, parce que, d’une certaine manière, c’est la véritable infrastructure, simplement réorientée à des fins de vol.

Comment fonctionne l’attaque

Les passerelles Wi-Fi captives sont les équipements qui se trouvent entre un réseau public et l’Internet ouvert ; en général, elles invitent l’utilisateur à se connecter, à accepter les conditions d’utilisation ou à saisir une adresse e-mail avant de pouvoir naviguer. D’après les informations rapportées sur cette campagne, l’acteur malveillant compromet directement ces équipements et les utilise pour cibler les comptes Microsoft 365 de salariés en déplacement professionnel.

Étant donné que Microsoft 365 constitue l’épine dorsale de la messagerie, du stockage de fichiers et de la collaboration pour une très grande part des entreprises dans le monde, un seul jeu d’identifiants volés peut ouvrir l’accès aux boîtes de réception, aux documents partagés, aux communications internes et, potentiellement, à un accès réseau plus profond si l’authentification multifacteur n’est pas correctement appliquée. Pour les attaquants, cibler les voyageurs d’affaires au niveau de la passerelle est efficace : au lieu de poursuivre des victimes individuelles, ils compromettent le point de passage obligé que de nombreux voyageurs sont contraints d’emprunter.

Cette approche contourne également certains des conseils habituels sur la manière de repérer les faux points d’accès. Les utilisateurs ne se connectent pas nécessairement à un nom de réseau malveillant ou à une page manifestement suspecte. Ils utilisent le Wi-Fi que l’établissement fournit réellement, et qui a simplement été retourné contre eux au niveau de l’infrastructure.

Pourquoi c’est un problème de confidentialité et de sécurité pour tout le monde

Les implications vont bien au-delà du service informatique d’une seule entreprise. On sait depuis longtemps que le Wi-Fi public est un maillon faible en matière de vie privée, mais cette campagne montre comment cette faiblesse s’aggrave lorsqu’elle touche des voyageurs d’affaires qui transportent des accès à des systèmes d’entreprise. Un identifiant Microsoft 365 compromis n’est pas qu’un simple désagrément : il peut entraîner une compromission de la messagerie professionnelle, une exposition de données et le lancement de nouvelles campagnes d’hameçonnage depuis un compte interne de confiance.

C’est un rappel utile que les outils sur lesquels les gens comptent pour leur vie privée et leur sécurité ont des limites réelles et précises. Comme nous l’avons expliqué dans notre analyse de ce contre quoi un VPN protège réellement, un VPN chiffre votre trafic entre votre appareil et le serveur VPN, ce qui est vraiment intéressant sur un Wi-Fi public. Mais il ne vous empêche pas de taper vos vrais identifiants sur un écran de connexion que le portail captif a lui-même compromis avant même que votre connexion VPN ne débute. Comprendre cette distinction est essentiel pour utiliser ces outils efficacement, plutôt que de supposer qu’ils guérissent tout.

Il est également bon de noter que les outils de protection de la vie privée comme les VPN s’inscrivent de plus en plus dans des débats politiques plus larges, avec notamment un examen réglementaire comme celui évoqué dans notre article sur les règles proposées au Royaume-Uni pour la vérification de l’âge des utilisateurs de VPN. À mesure que ces outils attirent l’attention des régulateurs, comprendre exactement contre quoi ils protègent – et contre quoi ils ne protègent pas – devient encore plus important pour les utilisateurs quotidiens comme pour les entreprises.

Ce que cela signifie pour vous

Si vous ou vos collaborateurs voyagez pour le travail et vous connectez régulièrement à un Wi-Fi public dans les aéroports, les hôtels ou les centres de conférence, cette campagne est un signal pour renforcer les habitudes concernant l’accès aux comptes professionnels en dehors du bureau. Cela ne signifie pas qu’il faille éviter complètement le Wi-Fi public, mais cela veut dire que le moment de la connexion, l’écran du portail captif, mérite plus d’attention que la plupart des gens ne lui en accordent.

Pour les équipes informatiques et de sécurité, c’est un argument fort en faveur de l’application de l’authentification multifacteur sur tous les comptes Microsoft 365 sans exception, car l’AMF peut limiter l’impact même si un mot de passe est volé. C’est aussi une raison d’envisager l’utilisation d’un point d’accès mobile ou d’une connexion VPN de confiance établie avant toute connexion sensible, plutôt que de s’en remettre au réseau fourni par défaut par un établissement.

Mesures concrètes à adopter

  • Activez l’authentification multifacteur sur tous les comptes Microsoft 365 et autres comptes professionnels, afin qu’un mot de passe volé ne suffise pas à accorder l’accès.
  • Évitez de vous connecter à des comptes professionnels immédiatement après vous être connecté à un portail captif Wi-Fi public ; si possible, utilisez un point d’accès cellulaire ou passez d’abord par un VPN.
  • Traitez les pages de connexion des portails captifs avec la même prudence que n’importe quel écran de connexion inconnu, et ne communiquez jamais plus d’informations que ce qu’un réseau exige réellement pour donner accès.
  • Encouragez les collaborateurs en déplacement à signaler à leur équipe informatique ou de sécurité tout élément inhabituel lors de l’expérience de connexion Wi-Fi, comme des demandes d’identifiants inattendues.
  • Rappelez-vous qu’un VPN constitue une couche de protection précieuse sur le Wi-Fi public, mais qu’il ne remplace pas la prudence au moment de la connexion ; comprendre son périmètre réel de protection vous aide à l’utiliser correctement.

Alors que les acteurs malveillants continuent de trouver de nouveaux moyens d’exploiter l’infrastructure à laquelle les voyageurs font déjà confiance, rester informé de la manière dont ces attaques fonctionnent réellement, plutôt que de se fier à des idées reçues sur les risques du Wi-Fi public, reste l’une des défenses les plus efficaces.