Microsoft signale une nouvelle campagne d'attaque par faux Wi-Fi

Microsoft a émis un avertissement le 31 juillet au sujet d'un groupe de pirates nommé Storm-2945, que l'entreprise identifie comme un sous-groupe de Midnight Blizzard, un acteur de menace lié à la Russie avec un long historique d'opérations cybernétiques alignées sur l'État. Selon Microsoft, Storm-2945 mène actuellement une campagne d'attaque qui utilise de fausses pages de connexion Wi-Fi pour cibler les voyageurs d'affaires partout dans le monde.

Bien que les révélations de Microsoft évoluent encore, le détail central est clair : les attaquants exploitent le moment où les voyageurs se connectent à des réseaux Wi-Fi publics ou d'hôtel, en utilisant des portails de connexion trompeurs pour compromettre les appareils ou voler des identifiants. Ce n'est pas la première fois que Microsoft attribue une intrusion à un groupe lié à la Russie ; l'entreprise a également attribué l'attaque par rançongiciel du stade de glace Thialf à un autre groupe de menace, soulignant à quel point l'équipe de renseignement sur les menaces de Microsoft nomme et suit désormais publiquement ces acteurs.

Comment une attaque par faux Wi-Fi se déroule-t-elle généralement

Les fausses pages de connexion Wi-Fi, parfois appelées attaques « evil twin » ou portails captifs malveillants, reposent sur une astuce simple : elles imitent l'écran de connexion légitime qu'un voyageur s'attend à voir dans un salon d'aéroport, un hôtel ou un lieu de conférence. Au lieu de se connecter au véritable réseau, l'appareil de la victime rejoint un réseau contrôlé par l'attaquant, ou est redirigé vers un portail usurpé conçu pour paraître identique à l'original.

À partir de là, l'attaquant peut récolter les identifiants saisis sur la fausse page, intercepter le trafic non chiffré ou tenter d'installer un logiciel malveillant sur l'appareil connecté. Étant donné que les voyageurs d'affaires ont souvent besoin de se connecter rapidement pour vérifier leurs e-mails ou participer à un appel, ces faux portails sont conçus pour se fondre dans le décor et ne pas éveiller les soupçons. Cette tactique ne nécessite pas de logiciel malveillant sophistiqué ni de vulnérabilité logicielle ; elle exploite la confiance dans un processus familier et quotidien.

C'est en partie la raison pour laquelle les groupes de menace liés à des opérations parrainées par un État, comme celui à l'origine de Midnight Blizzard, continuent d'investir dans cette approche. Elle est peu coûteuse, évolutive, et efficace contre une population, les voyageurs d'affaires, qui navigue fréquemment entre des réseaux non fiables et dispose d'un accès précieux aux systèmes d'entreprise, aux communications internes ou aux projets sensibles.

Pourquoi les voyageurs d'affaires sont une cible de choix

Les voyageurs d'affaires sont des cibles attrayantes pour plusieurs raisons. Ils se connectent fréquemment à des réseaux qu'ils ne contrôlent pas et ne peuvent pas vérifier, jonglent souvent avec plusieurs appareils et comptes, et peuvent être sous pression temporelle qui les rend moins susceptibles d'examiner de près une page de connexion. Pour un groupe lié à la Russie et axé sur l'espionnage ou la collecte de renseignements, compromettre un cadre, un diplomate ou un chercheur en déplacement peut fournir un point d'ancrage dans le réseau plus large de l'organisation, même si l'appareil initialement compromis n'est pas la cible ultime.

Cette campagne reflète également une tendance plus large : les acteurs de la menace privilégient de plus en plus les méthodes d'accès initial qui contournent entièrement les défenses traditionnelles des réseaux. Plutôt que d'exploiter une faille dans un logiciel d'entreprise ou un client VPN, comme dans les cas de la vulnérabilité IKE affectant les services VPN Windows, des attaques comme celle-ci ciblent la décision humaine de cliquer sur « Se connecter » sur un réseau inconnu. La sensibilisation et une hygiène opérationnelle de base sont donc tout aussi importantes que l'application des correctifs techniques.

Ce que cela signifie pour vous

Si vous voyagez pour le travail, même occasionnellement, cet avertissement est un rappel que les réseaux Wi-Fi publics, en particulier dans les aéroports, les hôtels et les centres de conférence, doivent être considérés comme intrinsèquement non fiables. Vous n'avez pas besoin d'être un dirigeant de haut niveau pour être pris dans une campagne comme celle-ci ; des attaquants qui ratissent large dans un lieu peuvent compromettre quiconque se connecte, puis trier ensuite qui est intéressant.

La bonne nouvelle est que les défenses contre ce type d'attaque sont simples et ne nécessitent pas d'outils de sécurité spécialisés. Vérifier le nom du réseau directement auprès du personnel du lieu, éviter les réseaux qui demandent des informations personnelles inhabituelles lors de la connexion, et utiliser un VPN réputé pour chiffrer votre trafic sur tout réseau public sont autant de mesures pratiques qui réduisent significativement le risque. Les organisations qui envoient régulièrement des employés en voyage d'affaires devraient également envisager de renforcer les consignes de base de sécurité Wi-Fi dans le cadre de la formation de sécurité de routine, car ce type d'ingénierie sociale ne repose pas sur des logiciels obsolètes ou des systèmes non corrigés.

Mesures concrètes à adopter

Avant votre prochain voyage d'affaires, confirmez les noms officiels des réseaux Wi-Fi auprès du personnel de l'hôtel ou de l'événement, plutôt que de vous fier à ce qui apparaît dans la liste des réseaux de votre appareil. Évitez de saisir des identifiants sensibles sur une page de portail captif qui semble ne serait-ce qu'un peu inhabituelle, et envisagez d'utiliser un VPN par défaut chaque fois que vous vous connectez à un réseau que vous ne contrôlez pas. Si votre organisation dispose d'une politique de sécurité pour les voyages, consultez-la avant de partir, et signalez rapidement tout élément suspect à votre équipe informatique ou de sécurité. L'avertissement de Microsoft concernant Storm-2945 est un rappel utile que même une attaque banale par faux Wi-Fi peut être le point de départ d'une intrusion bien plus vaste, et que quelques minutes de prudence sur l'écran de connexion peuvent l'empêcher.