DNS Wi-Fi détourné à l'hôtel : comment les hackers volent vos comptes Microsoft 365

Imaginez-vous connecté au Wi-Fi de votre hôtel après une longue journée de conférence. Vous ouvrez votre navigateur pour accéder à votre boîte mail professionnelle et vous êtes redirigé vers une page de connexion Microsoft 365 qui semble parfaitement légitime. Pourtant, derrière cette interface familière se cache un piège orchestré par des cybercriminels. Depuis juin 2026, une campagne ciblant les voyageurs d’affaires détourne les paramètres DNS des points d’accès Wi-Fi dans les hôtels et centres de conférence pour dérober les identifiants Microsoft 365. Selon ReliaQuest, cette attaque a touché des organisations dans les secteurs financiers, juridiques, de la santé, de l’énergie et de la distribution, principalement aux États-Unis, en Inde et en Arabie saoudite. Ce n’est pas une menace de plus à ajouter à la liste : c’est une alerte sérieuse pour toute entreprise dont les employés voyagent.

Comprendre l’attaque DNS sur le Wi-Fi des hôtels

Qu’est-ce que le détournement DNS et comment fonctionne-t-il ?

Le Domain Name System (DNS) est l’annuaire téléphonique d’Internet : il traduit les noms de domaine lisibles par les humains (comme login.microsoftonline.com) en adresses IP numériques. Lors d’une attaque de détournement DNS, un acteur malveillant modifie les paramètres DNS d’un routeur ou d’une passerelle Wi-Fi pour rediriger les requêtes légitimes vers des serveurs contrôlés par lui.

Dans le cas des hôtels, les chercheurs de ReliaQuest ont observé que les attaquants parvenaient à obtenir un accès administrateur aux passerelles Wi-Fi. Une fois cet accès acquis, ils modifiaient les serveurs DNS configurés sur l’appareil. Ainsi, lorsqu’un employé tente d’accéder à portal.office.com, sa requête est redirigée vers une adresse IP qui héberge une page de phishing imitant parfaitement l’interface de connexion Microsoft 365.

“Nous avons observé du trafic vers ces passerelles compromises provenant d’organisations de divers secteurs, confirmant qu’il ne s’agit pas d’un ciblage sectoriel, mais d’une campagne qui vise très probablement les employés en déplacement, quel que soit leur lieu de connexion.” - ReliaQuest

Les étapes de la chaîne d’attaque

1. Accès initial : Les attaquants exploitent des interfaces de gestion mal protégées (SSH, SNMP, panneaux d’administration web) ou des vulnérabilités connues sur les passerelles Wi-Fi.
2. Modification des DNS : Une fois administrateur, ils changent les paramètres DNS de la passerelle pour pointer vers des serveurs malveillants.
3. Redirection vers des pages de phishing : Les utilisateurs qui tentent d’accéder à des sites légitimes (Microsoft 365, Outlook, etc.) sont redirigés vers des domaines frauduleux.
4. Vol d’identifiants ou contournement MFA : Les victimes saisissent leurs identifiants sur les fausses pages. Dans certains cas, les attaquants utilisent un flux d’authentification par code d’appareil pour contourner l’authentification multifacteur (MFA).

Les domaines malveillants identifiés

Les chercheurs ont identifié au moins quatre domaines enregistrés pour cette campagne :

• m365-owa[.]com
• owa-ms365[.]com
• ms365-device[.]com
• ms365-live[.]com

Ces noms de domaine sont conçus pour ressembler aux adresses officielles de Microsoft, exploitant la confiance des utilisateurs.

Pourquoi les hôtels et centres de conférence sont des cibles privilégiées

Un environnement propice à l’espionnage

Les hôtels et centres de conférence accueillent régulièrement des cadres dirigeants, des responsables financiers et des experts juridiques. En ciblant ces lieux, les attaquants peuvent accéder à des informations sensibles : communications internes, documents stratégiques, données financières. Cette campagne s’inscrit dans une logique d’espionnage économique et politique.

La vulnérabilité des infrastructures Wi-Fi

De nombreux établissements hôteliers utilisent des passerelles Wi-Fi dont les interfaces de gestion sont exposées sur Internet. Souvent, ces appareils sont configurés avec des mots de passe par défaut ou des protocoles de gestion faiblement protégés (SNMP avec communauté publique, SSH sans authentification forte). Les équipes IT des hôtels manquent parfois de ressources pour sécuriser correctement ces équipements.

En pratique, un attaquant peut scanner l’Internet à la recherche de ces interfaces exposées, puis tenter de s’y connecter avec des identifiants par défaut. Une fois à l’intérieur, il peut modifier les paramètres DNS en quelques minutes.

Un précédent connu : FrostArmada et APT28

Les chercheurs de ReliaQuest établissent un parallèle entre cette campagne et les attaques FrostArmada, attribuées au groupe d’espionnage russe APT28 (également connu sous les noms de Fancy Bear ou Forest Blizzard). Ces attaques ciblaient déjà des routeurs pour détourner le trafic DNS. La ressemblance des techniques suggère que le même acteur pourrait être derrière cette nouvelle vague.

Le contournement de l’authentification multifacteur (MFA)

Le piège du code d’appareil

L’un des aspects les plus inquiétants de cette attaque est la capacité à contourner l’authentification multifacteur (MFA) sans voler de mots de passe ni intercepter de jetons d’accès. Les chercheurs ont observé un flux d’authentification par code d’appareil (device-code authentication flow).

Concrètement, la victime est redirigée vers une page Microsoft 365 factice qui lui demande d’approuver une demande d’authentification. Ce que l’utilisateur ne voit pas, c’est que cette demande a été initiée par l’attaquant. En approuvant, la victime délivre un jeton OAuth légitime à l’attaquant, lui donnant un accès persistant aux ressources de l’entreprise.

“Ce que l’utilisateur ne peut pas voir, c’est que l’approbation de l’invite autorise une session initiée par l’attaquant.” - ReliaQuest

Pourquoi le MFA ne suffit plus

Cet exemple illustre une réalité préoccupante : le MFA, bien que nécessaire, n’est pas une protection absolue. Les attaquants innovent constamment pour contourner cette barrière. Dans ce cas, ils exploitent un mécanisme légitime (le flux de code d’appareil) utilisé pour les appareils sans navigateur (comme les imprimantes ou les terminaux de point de vente).

Comment se protéger : mesures techniques et organisationnelles

Utiliser un VPN en tunnel intégral

La recommandation principale de ReliaQuest est d’utiliser un VPN en tunnel intégral toujours actif (always-on, full-tunnel VPN). Cela signifie que tout le trafic de l’appareil est chiffré et acheminé via le VPN, quelles que soient les modifications DNS effectuées sur le réseau local. Même si le DNS est détourné, le trafic vers les sites Microsoft 365 sera encapsulé dans le tunnel VPN et ne pourra pas être redirigé.

Configurer le DNS chiffré en mode strict

Le DNS chiffré (DNS over HTTPS ou DNS over TLS) empêche les interférences sur les requêtes DNS. En mode strict, le système refuse toute connexion DNS non chiffrée. Toutefois, ReliaQuest prévient que l’utilisation de DNS publics comme Google (8.8.8.8) ne protège pas contre cette attaque, car la passerelle peut forger les requêtes en texte clair avant qu’elles n’atteignent le résolveur.

Désactiver le WPAD (Web Proxy Auto-Discovery)

Dans environ un tiers des cas observés, les attaquants ont tenté d’abuser du protocole WPAD. Ce protocole permet aux navigateurs de détecter automatiquement un proxy. En répondant à la requête WPAD avec un fichier PAC malveillant, l’attaquant peut rediriger tout le trafic HTTP via un proxy contrôlé. Il est donc recommandé de désactiver WPAD sur les postes de travail.

Désactiver le flux d’authentification par code d’appareil

Si votre organisation n’utilise pas le flux de code d’appareil pour des cas légitimes, il est conseillé de le désactiver dans Microsoft Entra ID (anciennement Azure AD). Cette mesure simple empêche les attaquants d’exploiter cette technique de contournement MFA.

Auditer les journaux d’activité

ReliaQuest recommande de consulter régulièrement les journaux pour détecter des connexions suspectes : tentatives d’authentification depuis des adresses IP inconnues, demandes d’approbation de code d’appareil inattendues, ou accès à des applications inhabituelles.

Tableau comparatif des mesures de protection

Exemple concret : le cas d’un cabinet d’avocats

Prenons l’exemple d’un cabinet d’avocats parisien dont les associés se rendent régulièrement à des conférences à Londres et New York. L’un d’eux se connecte au Wi-Fi de son hôtel pour consulter un dossier confidentiel sur Microsoft 365. Sans le savoir, il est redirigé vers une page de phishing et saisit ses identifiants. L’attaquant obtient alors un accès à la boîte mail de l’associé, contenant des échanges avec des clients sur des fusions-acquisitions. Les conséquences peuvent être désastreuses : fuite d’informations sensibles, perte de confiance des clients, sanctions réglementaires.

Si ce cabinet avait déployé un VPN en tunnel intégral sur tous les postes mobiles, l’attaque aurait été neutralisée. Le trafic aurait été chiffré et acheminé via le VPN, rendant le détournement DNS inopérant.

Recommandations pour les entreprises

1. Établir une politique de sécurité pour les déplacements : Exiger l’utilisation systématique du VPN pour toute connexion depuis un réseau non approuvé (hôtels, aéroports, espaces de coworking).
2. Former les employés : Les sensibiliser aux risques de phishing même sur des pages qui semblent authentiques. Leur apprendre à vérifier l’URL dans la barre d’adresse.
3. Auditer les configurations DNS : Vérifier que les serveurs DNS utilisés sont fiables et que le DNS chiffré est activé.
4. Mettre à jour les équipements réseau : S’assurer que les passerelles Wi-Fi des hôtels partenaires sont correctement configurées et mises à jour.
5. Surveiller les connexions Microsoft 365 : Utiliser les outils de sécurité comme Microsoft Defender for Cloud Apps pour détecter les comportements anormaux.

Conclusion : une menace qui exige une réponse immédiate

Le détournement DNS sur les réseaux Wi-Fi des hôtels n’est pas une simple hypothèse théorique : c’est une campagne active depuis juin 2026, ciblant des employés en déplacement dans des secteurs clés. La sophistication de l’attaque, notamment le contournement du MFA via le flux de code d’appareil, montre que les cybercriminels adaptent leurs techniques aux défenses modernes. Protéger ses collaborateurs en déplacement n’est plus une option, mais une nécessité opérationnelle. En combinant VPN, DNS chiffré, désactivation des protocoles inutiles et formation, vous réduisez considérablement les risques. La prochaine fois que vous vous connecterez au Wi-Fi d’un hôtel, demandez-vous : mon trafic est-il vraiment sécurisé ?