Détournement DNS Wi-Fi en hôtel : la nouvelle menace qui vole vos comptes Microsoft 365

Les connexions Wi-Fi dans les hôtels et centres de conférence sont devenues un terrain de chasse privilégié pour les cybercriminels, dans un contexte où les attaques ransomware ont explosé de 30% en 2026, impactant lourdement les chaînes d’approvisionnement. Une campagne active depuis au moins juin 2026 cible les employés en déplacement professionnel en modifiant les paramètres DNS des points d’accès pour rediriger les victimes vers de fausses pages de connexion Microsoft 365. Selon la société de cybersécurité ReliaQuest, des passerelles Wi-Fi compromises ont été détectées dans plusieurs villes des États-Unis, ainsi qu’en Inde et en Arabie saoudite, affectant des secteurs aussi variés que la finance, la santé, l’énergie et le conseil. Ce détournement DNS Wi-Fi hôtel permet aux attaquants de dérober des identifiants Microsoft 365, contournant même l’authentification multifacteur (MFA) dans certains cas.

Comment fonctionne l’attaque par détournement DNS sur Wi-Fi d’hôtel

Compromission initiale des équipements réseau

Le mode opératoire commence par la prise de contrôle des passerelles Wi-Fi utilisées dans les hôtels et centres de conférence. Les chercheurs de ReliaQuest n’ont pas déterminé avec certitude la méthode d’accès initial, mais ils suspectent l’exploitation d’interfaces de gestion exposées et faiblement protégées (SSH, SNMP, interfaces d’administration web) ou de vulnérabilités non corrigées. Une fois l’accès administrateur obtenu, l’attaquant peut modifier les paramètres DNS du routeur.

« Il est probable que les attaquants aient ciblé des équipements dont les mots de passe par défaut n’avaient pas été changés ou dont les interfaces de gestion étaient accessibles depuis Internet », explique l’équipe de ReliaQuest.

Redirection DNS vers des pages de phishing Microsoft 365

Après avoir compromis la passerelle, l’attaquant remplace les serveurs DNS légitimes par des serveurs malveillants. Ces derniers répondent aux requêtes de résolution de noms en redirigeant les utilisateurs vers des domaines frauduleux. Quatre domaines ont été identifiés pour cette campagne :

• m365-owa[.]com
• owa-ms365[.]com
• ms365-device[.]com
• ms365-live[.]com

Lorsqu’un employé tente d’accéder à la page de connexion Microsoft 365 (par exemple login.microsoftonline.com), le DNS modifié le conduit vers l’une de ces fausses pages, visuellement identiques à l’originale. L’utilisateur saisit alors ses identifiants, qui sont immédiatement collectés par les attaquants.

Contournement de l’authentification multifacteur via OAuth

Le scénario le plus préoccupant concerne l’utilisation du flux d’authentification par code d’appareil (device-code authentication). Dans ce cas, la fausse page affiche un code que l’utilisateur doit saisir sur son appareil mobile. En réalité, ce code est généré par une session initiée par l’attaquant. Lorsque la victime valide la demande sur son téléphone, elle autorise l’attaquant à obtenir un jeton OAuth légitime, contournant ainsi complètement la MFA.

« Ce que l’utilisateur ne voit pas, c’est qu’en approuvant la demande, il autorise une session initiée par l’attaquant », précise le rapport de ReliaQuest.

Impact sur les entreprises et les données sensibles

Les cibles de cette campagne ne sont pas sectorielles : toute organisation dont les employés voyagent et se connectent au Wi-Fi d’un hôtel est potentiellement vulnérable. Les secteurs observés incluent les services financiers, le conseil juridique, la santé, l’énergie et la distribution. Une fois le compte Microsoft 365 compromis, l’attaquant peut accéder aux emails, documents internes, agendas et applications métier, exposant l’entreprise à des fuites de données massives.

Selon ReliaQuest, environ un tiers des cas analysés montraient également une tentative d’exploitation du protocole Web Proxy Auto-Discovery (WPAD). L’attaquant répondait aux requêtes WPAD automatiques de Windows avec un fichier PAC malveillant, ce qui aurait pu rediriger tout le trafic HTTP/HTTPS via un proxy contrôlé par l’attaquant. Les chercheurs n’ont pas pu confirmer le succès de cette méthode, mais elle illustre la sophistication de la menace, à l’image des toolkits automatisés de ransomware qui contournent les EDR et s’emparent de l’Active Directory.

Pourquoi les mesures de sécurité classiques échouent

DNS public ne protège pas

Une idée reçue courante est d’utiliser un DNS public comme Google (8.8.8.8) pour se prémunir de ce type d’attaque. Or, ReliaQuest précise que cela est inefficace : la passerelle compromise peut forger les requêtes DNS en texte clair avant qu’elles n’atteignent le résolveur public. Le DNS public ne fait que remplacer le résolveur, mais si le trafic passe toujours par l’équipement compromis, l’attaquant peut toujours manipuler les réponses.

VPN classique insuffisant sans configuration stricte

Un VPN standard peut être contourné si le DNS est modifié avant l’établissement du tunnel VPN. La recommandation est d’utiliser un VPN en mode full-tunnel (tout le trafic passe par le VPN) et d’activer le DNS chiffré (DoH ou DoT) en mode strict, ce qui empêche l’équipement réseau de rediriger les requêtes DNS.

Mesures de protection recommandées

Voici les actions concrètes à mettre en œuvre pour protéger les collaborateurs en déplacement :

1. Utiliser un VPN d’entreprise en full-tunnel : configurer le VPN pour qu’il achemine tout le trafic, y compris les requêtes DNS, via le tunnel chiffré.
2. Activer le DNS chiffré en mode strict : dans les paramètres Windows ou via une politique de groupe, forcer l’utilisation de DoH/DoT avec un résolveur de confiance.
3. Désactiver le flux Device Code dans Microsoft Entra ID : si ce flux n’est pas nécessaire pour les utilisateurs mobiles, le désactiver dans le portail Azure AD.
4. Désactiver le protocole WPAD : via les paramètres de groupe ou le registre Windows, pour éviter toute tentative d’exploitation.
5. Sensibiliser les employés : former les voyageurs à ne pas saisir leurs identifiants sur des pages de connexion inattendues, et à vérifier l’URL dans la barre d’adresse.
6. Surveiller les logs de connexion : analyser les événements de connexion inhabituels, notamment les authentifications via code d’appareil provenant d’adresses IP non reconnues.
7. Utiliser des certificats clients : pour les accès aux applications critiques, exiger une authentification par certificat plutôt que par mot de passe.

Exemple de configuration DNS chiffré sous Windows

# Activer DoH en mode strict via PowerShell (Windows 10/11)
Set-DnsClientServerAddress -InterfaceAlias "Wi-Fi" -ServerAddresses ("1.1.1.1", "1.0.0.1")
Set-DnsClientDohServerAddress -ServerAddress "1.1.1.1" -DohTemplate "https://cloudflare-dns.com/dns-query" -AllowFallbackToUdp $false

Cette commande force l’utilisation du DNS Cloudflare en mode strict : si le serveur DoH n’est pas joignable, la résolution DNS échoue plutôt que de passer par le DNS non chiffré.

L’analogie avec le groupe APT28

Les chercheurs de ReliaQuest ont noté des similitudes entre cette campagne et les opérations attribuées au groupe russe APT28 (Fancy Bear / Forest Blizzard), notamment les attaques FrostArmada qui ciblaient les routeurs domestiques et professionnels. Bien que l’attribution ne soit pas confirmée, le mode opératoire est cohérent : compromission d’équipements réseau, modification DNS, et ciblage de comptes Microsoft 365 pour l’espionnage.

Conclusion : une vigilance accrue pour les déplacements professionnels

Le détournement DNS Wi-Fi hôtel représente une menace sérieuse pour la sécurité des entreprises, car il exploite un maillon faible : la confiance implicite accordée au réseau Wi-Fi d’un hôtel. Les attaquants misent sur le fait que les employés en déplacement sont moins vigilants et que les équipements hôteliers sont souvent mal configurés. La combinaison d’un VPN full-tunnel, d’un DNS chiffré en mode strict et de la désactivation des flux d’authentification superflus constitue la meilleure défense. Les entreprises doivent intégrer ces mesures dans leur politique de sécurité pour les collaborateurs nomades, et sensibiliser régulièrement aux risques de phishing avancé. Ne laissez pas une simple connexion Wi-Fi compromettre vos données les plus sensibles, d’autant que l’IA générative amplifie le risque de rançongiciel en entreprise.