Arnaque Wi‑Fi : les hôtels piègent Microsoft 365
Les hôtels peuvent exposer les utilisateurs au vol de jetons Microsoft 365 via des portails captifs détournés, une menace en croissance.
Le Wi-Fi des hôtels peut devenir une porte d’entrée vers le vol de jetons Microsoft 365. La menace repose sur des captive portals détournés, capables de rediriger vers du phishing sans toucher directement votre ordinateur.
Début août 2026, Microsoft Threat Intelligence a attribué la campagne CaptiveCrunch au groupe Storm-2945, rattaché à Midnight Blizzard. Les attaquants visent surtout les réseaux invités d’hôtels, de centres de conférence et de lieux publics équipés d’un portail captif.
Comment l’attaque fonctionne
Le principe est simple, et justement redoutable. Un attaquant prend le contrôle du portail captif, souvent via un équipement mal protégé ou un mot de passe faible. Ensuite, il manipule les réponses réseau pour pousser la victime vers une fausse page Microsoft 365.
Une fois la redirection en place, l’utilisateur pense valider l’accès au Wi-Fi. En réalité, il saisit ses identifiants sur une copie frauduleuse. Dans certains scénarios, la page piège récupère aussi des jetons de session ou des autorisations OAuth, ce qui permet de réutiliser la connexion sans connaître le mot de passe.
Le piège ne vise pas seulement le mot de passe. Il cherche aussi les éléments qui prolongent la connexion, comme les cookies, les jetons ou certains flux d’authentification moderne. C’est ce point qui rend l’attaque plus dangereuse qu’un simple faux formulaire.
Pourquoi le portail captif devient une faiblesse
Un portail captif est courant sur les réseaux publics. Il sert à afficher une page d’acceptation avant l’accès complet à Internet. Le souci, c’est qu’il concentre la confiance de l’utilisateur au même endroit que l’accès réseau.
Selon la documentation Microsoft, Windows détecte ces portails en vérifiant l’accès réseau restreint et en redirigeant l’utilisateur vers une page dédiée. Si cette étape est compromise, tout le reste de la navigation peut être détourné avant même l’affichage d’un site légitime.
Les attaquants n’ont alors pas besoin de compromettre votre appareil au départ. Ils contrôlent la passerelle, modifient le routage ou empoisonnent le DNS, puis servent une fausse infrastructure qui ressemble à Microsoft 365.
Les signes qui doivent vous alerter
Une demande de connexion qui apparaît juste après l’acceptation des conditions doit vous rendre méfiant. C’est encore plus vrai si la page demande de télécharger un outil, une mise à jour, un certificat ou un utilitaire de dépannage.
Microsoft recommande de se méfier des fenêtres contextuelles qui proposent des fichiers inattendus. L’entreprise conseille aussi d’éviter les réseaux invités quand une solution privée existe, comme un partage de connexion mobile.
Sur un réseau piégé, la page peut imiter une authentification Microsoft très crédible. Pourtant, un détail trahit souvent l’arnaque : un domaine étrange, une demande inhabituelle, ou une validation qui ne correspond pas à vos habitudes de connexion.
Ce que vous devez faire immédiatement
Si vous êtes en déplacement, privilégiez d’abord la connexion via votre téléphone plutôt que le Wi-Fi public. Microsoft recommande cette option quand elle est possible. Pour un usage pro, un VPN full-tunnel reste la protection la plus robuste, car tout le trafic passe dans un tunnel chiffré avant d’atteindre Internet.
Je vous conseille aussi de vérifier les connexions récentes sur votre compte Microsoft. Si vous voyez un appareil, une localisation ou une heure incohérente, changez le mot de passe depuis un réseau de confiance et révoquez les sessions actives.
En entreprise, la logique doit être plus stricte. Le VPN doit s’activer avant tout accès Internet. Sans ça, un portail compromis peut encore intercepter une partie du parcours de connexion.
Le bon réflexe consiste à traiter le Wi-Fi public comme un réseau hostile. Ce n’est pas du pessimisme. C’est une posture adaptée à une attaque qui détourne l’infrastructure elle-même.
Les réglages utiles sur vos appareils
Sur Windows, pensez à durcir les mécanismes réseau utilisés en entreprise. Microsoft documente le comportement des portails captifs dans Windows, ce qui aide à comprendre où se joue la redirection initiale. Pour les postes gérés, le blocage de WPAD et la restriction du Device-Code Flow sont cités parmi les mesures de réduction du risque.
Sur mobile, la règle est plus simple. Désactivez l’auto-connexion aux réseaux ouverts quand l’option existe. Vous limitez ainsi les connexions automatiques à des points d’accès non vérifiés.
Sur un poste personnel, gardez un navigateur à jour et activez la protection renforcée de votre compte Microsoft. Vérifiez aussi les méthodes de récupération et les applications autorisées. Si un pirate a obtenu un jeton, il peut parfois contourner le mot de passe sans déclencher d’alerte immédiate.
Pour approfondir le fonctionnement d’un portail captif dans Windows, la documentation officielle reste la meilleure base technique. Si vous cherchez une définition claire du proxy automatique WPAD, cette ressource aide à comprendre pourquoi il est surveillé de près.
Ce qu’un particulier peut vérifier en moins de cinq minutes
Commencez par regarder l’adresse du site de connexion. Un vrai accès Microsoft 365 passe par des domaines cohérents, sans fautes, sans sous-domaines bizarres et sans redirections interminables.
Ensuite, refusez tout téléchargement proposé pendant l’authentification réseau. Un portail captif n’a pas à vous pousser à installer un certificat, un pilote ou un “outil de sécurité” pour vous connecter.
Contrôlez aussi vos connexions récentes sur le compte Microsoft, puis cherchez une activité anormale dans OneDrive, Outlook ou les paramètres de sécurité du compte. Cette vérification ne prend que quelques minutes, mais elle peut stopper une compromission avant qu’elle ne s’étende.
Enfin, si vous voyagez avec un ordinateur portable professionnel, demandez si le VPN est obligatoire dès la mise sous tension. Cette exigence est le meilleur rempart contre un portail captif manipulé.
Pourquoi cette arnaque vise si bien les pros
Les voyageurs d’affaires se connectent vite. Ils acceptent les conditions, ouvrent leurs mails et valident parfois des demandes MFA sans regarder la page d’origine. C’est exactement ce que recherchent les opérateurs de phishing.
Le contexte joue aussi contre eux. Dans un hôtel, un aéroport ou un centre de congrès, l’attente pousse à cliquer vite. Un faux portail ressemble alors à une formalité, pas à une attaque.
Je vois souvent le même schéma dans les incidents du quotidien : ce n’est pas l’outil qui trahit l’utilisateur, c’est le moment. Une connexion pressée, un réseau inconnu, puis un geste de trop. Ici, le raccourci peut coûter un compte Microsoft 365 entier.
Si vous administrez un parc, préparez une règle claire : pas d’accès SaaS sensible sans tunnel actif, pas de validation d’URL inconnue, et pas de téléchargement depuis un portail de connexion. Cette discipline évite beaucoup d’ennuis.
0 lien de plus n’est utile ici sans contrôle préalable. Gardez plutôt ces gestes en tête : réseau privé, VPN full-tunnel, vérification des connexions, et refus systématique des téléchargements proposés par le portail.
Pour sécuriser votre compte Microsoft, commencez par consulter le support officiel Microsoft sur la sécurisation du compte. Ensuite, relisez les paramètres de sécurité du compte et retirez les sessions que vous ne reconnaissez pas. C’est une vérification simple, mais elle change tout après un passage sur un Wi-Fi public.
