Arnaque Wi‑Fi : le faux portail piège les voyageurs
L'arnaque Wi-Fi se propage avec des faux portails captifs qui piègent les voyageurs et menacent leurs données personnelles.
Le portail captif Wi‑Fi est devenu une porte d’entrée idéale pour piéger les voyageurs. Un faux écran d’accès sur le wifi public peut suffire à voler des identifiants, détourner une session ou pousser un malware.
Pourquoi cette arnaque marche si bien
Dans un hôtel, une gare ou un aéroport, on s’attend à voir une page de connexion. Les attaquants exploitent ce réflexe. Ils répliquent l’apparence d’un portail légitime, puis affichent une demande de connexion Microsoft 365, une fausse vérification ou une redirection vers une page piégée.
Le point clé est simple : le faux portail ne cherche pas seulement un mot de passe. Il peut aussi récupérer un jeton de session ou abuser du flux d’authentification par code d’appareil de Microsoft Entra ID, une méthode utilisée dans la campagne CaptiveCrunch observée depuis le mai 2026. Microsoft a indiqué que des pages de destination ont redirigé des utilisateurs vers ce scénario à partir du 16 juillet 2026.
Le danger ne vient pas seulement du mot de passe volé. Un attaquant qui obtient un jeton ou une authentification déjà validée peut entrer plus loin dans vos services, parfois sans alerte immédiate.
Ce que Microsoft a observé récemment
Le 31 juillet 2026, Microsoft a décrit l’opération CaptiveCrunch. L’activité a été attribuée à Storm-2945, un sous-groupe de Midnight Blizzard. Le ciblage vise des réseaux de l’hôtellerie et des portails captifs compromis, avec plusieurs charges utiles observées : pages de faux accès, redirections vers de faux services Microsoft et mises à jour frauduleuses.
Les attaquants ne se limitent pas à voler un compte. Ils cherchent aussi à diffuser des logiciels espions et à pousser l’utilisateur à saisir ses identifiants sur une page qui ressemble à une page officielle. D’autres analyses publiées fin juillet ont aussi décrit des détournements de passerelles Wi‑Fi d’hôtels et de centres de conférence pour intercepter le trafic des clients et hijacker des comptes Microsoft 365.
Résultat : le risque touche autant le téléphone personnel que l’ordinateur portable de travail. Si vous lisez vos mails pro, ouvrez Teams ou accédez à Microsoft 365 depuis un wifi public, vous entrez dans la zone visée.
Les signaux qui doivent vous alerter
Un portail captif normal demande souvent une action simple : accepter les conditions, saisir un numéro de chambre ou un code invité. En revanche, une demande de mot de passe Microsoft, Google ou d’un réseau social doit faire lever le drapeau rouge.
Autre indice : une redirection étrange, une URL longue et peu cohérente, ou une page qui vous pousse vers une authentification inhabituelle. Les faux portails utilisent souvent une mise en scène soignée, mais trahissent leur origine par la structure de l’adresse, la forme du formulaire ou la demande d’informations inutiles.
La page vous réclame votre adresse mail professionnelle, un code reçu par SMS ou des données bancaires pour “valider” le wifi ? Coupez court. Un accès invité sérieux ne demande pas cela pour un simple wifi public.
Les cas les plus risqués
Je vous conseille une prudence renforcée dans trois situations : hôtel, conférence, transport. Ce sont les lieux les plus crédibles pour un faux portail, car le visiteur s’attend à un écran de connexion.
- Hôtel : le portail peut imiter le site du groupe ou la page d’accueil du Wi‑Fi invité.
- Aéroport : le faux écran peut demander une connexion “service” ou une validation de sécurité.
- Gare ou salon pro : l’attaque profite de la rapidité. Vous cliquez sans vérifier.
Les bons réflexes avant de cliquer
Commencez par vérifier le nom du réseau avec le personnel du lieu. Cette étape prend quelques secondes. Elle évite bien des erreurs sur un réseau voisin au nom trompeur.
Puis, ouvrez le portail dans le navigateur seulement si la page semble cohérente. Si elle demande plus qu’un simple clic d’acceptation, fermez-la. Vous pouvez ensuite tester avec vos données mobiles plutôt que de persister sur un réseau douteux.
Ne saisissez jamais vos identifiants pro sur un portail captif. C’est la règle la plus rentable. Un accès légitime à Internet n’a aucune raison de vous demander votre mot de passe Microsoft 365 dans ce contexte.
Avant un déplacement, mettez à jour votre système, votre navigateur et vos applications. Les campagnes actuelles exploitent aussi des redirections vers de fausses mises à jour et des installateurs piégés. Côté Windows, pensez à lancer les mises à jour depuis Paramètres > Windows Update. Sur mobile, faites pareil avant le départ.
Que faire si vous êtes déjà connecté
Si un doute apparaît, déconnectez-vous immédiatement du réseau. Ensuite, passez sur la 4G ou la 5G pour vérifier vos comptes depuis une connexion plus sûre. N’attendez pas de “voir si ça passe”. Le temps joue contre vous.
Si vous avez saisi un mot de passe, changez-le sans délai depuis une connexion fiable. Faites-le aussi pour les comptes liés, surtout si le même mot de passe a servi ailleurs. Activez ou vérifiez la double authentification sur les services sensibles.
Si vous utilisez Microsoft 365, consultez le support officiel Microsoft pour revoir les options de sécurité du compte et la gestion des connexions suspectes. Pour l’authentification moderne et les flux liés à Microsoft Entra ID, la documentation officielle Microsoft Learn reste la meilleure base technique.
Enfin, vérifiez vos activités récentes. Recherchez les connexions inhabituelles, les nouveaux appareils liés et les mails envoyés sans votre accord. Si vous voyez un changement de règle de boîte mail, une redirection ou un nouveau jeton d’accès, traitez cela comme un incident de sécurité.
Mon conseil de terrain pour voyager plus sereinement
Je recommande une méthode simple. Gardez vos tâches sensibles pour la connexion mobile. Réservez le wifi public à la navigation légère. C’est plus sûr, plus lisible et bien plus simple à dépanner en cas d’alerte.
Le meilleur filtre reste votre vigilance. Si une page d’accès vous presse, vous sollicite trop ou vous demande un compte, considérez-la comme suspecte. Dans le doute, vous gagnez toujours à fermer l’onglet plutôt qu’à “essayer quand même”.
Pour les professionnels, je conseille aussi de voyager avec une session de travail déjà préparée : mots de passe stockés dans un gestionnaire sérieux, MFA activée, navigateur à jour, sauvegardes actives, et documents sensibles disponibles hors ligne si besoin. Vous réduisez ainsi l’impact d’un faux portail ou d’une redirection malveillante.
Au final, le piège fonctionne parce qu’il ressemble à un service banal. C’est justement là qu’il faut ralentir. Sur un portail captif, votre premier réflexe doit être le plus simple : regarder, vérifier, puis seulement cliquer.
