Détournement DNS dans les hôtels : la nouvelle menace qui cible vos comptes Microsoft 365

Une campagne de cyberespionnage exploite le Wi-Fi des hôtels pour dérober vos identifiants professionnels

Selon une enquête récente de l’entreprise de cybersécurité ReliaQuest, des pirates informatiques modifient les paramètres DNS des équipements Wi-Fi dans les hôtels et centres de conférence, principalement aux États-Unis, en Inde et en Arabie saoudite. L’objectif ? Rediriger les utilisateurs vers de fausses pages de connexion Microsoft 365 afin de dérober leurs identifiants professionnels. Cette campagne, active depuis au moins juin 2026, cible indistinctement les secteurs financiers, juridiques, de la santé, de l’énergie et de la distribution, confirmant qu’aucune organisation n’est à l’abri lorsque ses collaborateurs se déplacent.

Comment les pirates prennent le contrôle des routeurs d’hôtel

Accès initial aux équipements Wi-Fi

Le mode opératoire des attaquants reste encore partiellement obscur. ReliaQuest suppose que l’accès initial aux passerelles Wi-Fi est obtenu via l’exploitation d’interfaces de gestion faiblement protégées, telles que les protocoles SSH, SNMP ou les panneaux d’administration web. Les équipements exposés sur Internet, sans mot de passe robuste ou avec des vulnérabilités non corrigées, constituent une porte d’entrée idéale. Dans la pratique, de nombreux hôtels et centres de conférence négligent la sécurisation de ces interfaces, les considérant à tort comme internes.

Modification des paramètres DNS

Une fois l’accès administrateur acquis, l’attaquant modifie les paramètres DNS de la passerelle. Concrètement, lorsque vous tapez l’adresse de votre messagerie professionnelle, votre requête est redirigée vers un serveur DNS malveillant, contrôlé par les pirates. Ce serveur répond avec l’adresse IP d’une fausse page de connexion, parfaitement imitée. Les chercheurs ont identifié au moins quatre domaines enregistrés pour ces phishing pages : m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com et ms365-live[.]com.

“Nous avons observé du trafic vers ces passerelles compromises provenant d’organisations de divers secteurs, confirmant qu’il ne s’agit pas d’un ciblage sectoriel spécifique, mais d’une campagne qui vise très probablement les employés en déplacement, quel que soit leur lieu de connexion.” - ReliaQuest

La technique de contournement de l’authentification multifacteur (MFA)

Le flux d’authentification par code d’appareil

L’aspect le plus préoccupant de cette attaque réside dans la capacité des pirates à contourner la protection MFA. Dans certains cas, les chercheurs ont observé un flux d’authentification par code d’appareil : après avoir saisi leurs identifiants sur la page frauduleuse, les victimes sont invitées à approuver une demande de connexion sur leur téléphone ou via un autre appareil. Ce que l’utilisateur ne voit pas, c’est que cette approbation autorise en réalité une session initiée par l’attaquant. En acceptant, la victime génère un jeton OAuth légitime qui est délivré au client de l’attaquant, lui octroyant un accès complet au compte Microsoft 365.

Pourquoi le MFA ne suffit plus

Ce scénario illustre une faille fondamentale de certaines implémentations MFA : elles protègent contre le vol de mot de passe, mais pas contre le détournement de session via des jetons OAuth. L’utilisateur croit valider sa propre connexion, alors qu’il valide celle d’un tiers. Cette technique, déjà observée dans des campagnes antérieures attribuées au groupe FrostArmada (lié à APT28, également connu sous les noms de Fancy Bear ou Forest Blizzard), démontre une sophistication croissante des attaquants.

Les tentatives d’abus du protocole WPAD

Dans environ un tiers des cas investigués, les attaquants ont également tenté d’abuser du protocole Web Proxy Auto-Discovery (WPAD). En répondant à la requête automatique de Windows avec un fichier de configuration de proxy malveillant (PAC), ils pouvaient théoriquement rediriger le trafic de toutes les applications Windows, y compris Chrome, via un proxy contrôlé. ReliaQuest n’a pas pu confirmer le succès de ces tentatives, mais cette double menace aggrave le risque global.

Mesures de protection concrètes pour les entreprises

Utiliser un VPN full-tunnel toujours actif

La recommandation principale de ReliaQuest est d’utiliser un VPN full-tunnel, activé en permanence, même lors de la connexion à des réseaux Wi-Fi d’hôtel. Contrairement aux VPN split-tunnel qui ne protègent que certaines applications, le full-tunnel chiffre et achemine l’intégralité du trafic via un serveur sécurisé, rendant la modification DNS locale inefficace. Il est essentiel de configurer ce VPN en mode strict, afin qu’aucune requête ne sorte sans être chiffrée.

Activer le DNS chiffré en mode strict

Le simple fait d’utiliser des serveurs DNS publics comme celui de Google (8.8.8.8) ne vous protège pas : la passerelle compromise forge les requêtes en texte clair avant qu’elles n’atteignent le résolveur. En revanche, le DNS over HTTPS (DoH) ou le DNS over TLS (DoT) en mode strict, configuré sur le poste client, empêche le détournement car les requêtes sont chiffrées de bout en bout. Cette mesure est désormais accessible sur Windows, macOS et les navigateurs modernes.

Désactiver le flux d’authentification par code d’appareil

Dans Microsoft Entra ID (anciennement Azure AD), il est possible de désactiver le flux d’authentification par code d’appareil lorsqu’il n’est pas strictement nécessaire. Cette configuration réduit considérablement la surface d’attaque. Les administrateurs doivent vérifier dans le portail Entra ID que cette méthode n’est pas activée par défaut pour les utilisateurs nomades.

Désactiver le protocole WPAD

Le protocole WPAD, bien que pratique pour la découverte automatique de proxy, constitue un vecteur d’attaque bien connu. Sa désactivation dans les stratégies de groupe ou via le registre Windows est une mesure de sécurité simple et efficace. Les équipes IT doivent également vérifier qu’aucun serveur WPAD non autorisé n’est actif sur le réseau.

Surveiller les journaux d’activité

Les équipes de sécurité doivent analyser les journaux de connexion à la recherche d’activités suspectes : connexions depuis des adresses IP inhabituelles, utilisation soudaine de protocoles d’authentification rares, ou encore demandes d’approbation de code d’appareil inexpliquées. Les solutions de Security Information and Event Management (SIEM) peuvent être configurées pour alerter sur ces anomalies.

Tableau comparatif : mesures de protection contre le détournement DNS

Exemple concret : le scénario d’un commercial en déplacement

Imaginez un commercial d’une entreprise française du secteur de l’énergie, participant à un salon professionnel à Bombay. Il se connecte au Wi-Fi de son hôtel pour accéder à sa messagerie Microsoft 365. La passerelle, compromise depuis plusieurs jours, modifie sa requête DNS. Il arrive sur une page de connexion identique à celle de Microsoft, saisit ses identifiants, puis reçoit une notification sur son téléphone lui demandant d’approuver une connexion. Pensant qu’il s’agit de la validation normale de son authentification multifacteur, il approuve. En quelques secondes, l’attaquant obtient un jeton OAuth valide et accède à l’intégralité de sa boîte mail, à ses documents partagés et à ses communications avec des clients stratégiques. Les conséquences peuvent être désastreuses : fuite de données sensibles, espionnage industriel, ou compromission de toute la chaîne d’approvisionnement.

Ce que disent les chiffres

Selon une étude de Verizon Data Breach Investigations Report (DBIR) 2025, 74% des brèches impliquent un élément humain, incluant le phishing et l’utilisation d’identifiants volés. Par ailleurs, le Ponemon Institute estime que le coût moyen d’une fuite de données liée à des identifiants compromis atteint 4,88 millions de dollars en 2025. Ces statistiques soulignent l’urgence de protéger les accès Microsoft 365 des collaborateurs en mobilité.

Conclusion : une vigilance accrue s’impose pour les entreprises

Le détournement DNS dans les hôtels représente une menace sérieuse et évolutive, ciblant directement les points faibles de la mobilité professionnelle. Les entreprises françaises, confrontées aux exigences du RGPD et aux recommandations de l’ANSSI, doivent intégrer ces risques dans leur politique de sécurité. La combinaison d’un VPN full-tunnel, du DNS chiffré, de la désactivation des flux d’authentification superflus et de la sensibilisation des utilisateurs constitue une défense robuste. Ne sous-estimez pas la prochaine connexion Wi-Fi de votre hôtel : elle pourrait être la porte d’entrée vers une compromission majeure de vos comptes Microsoft 365.