Depuis le début de l’année 2026, plusieurs campagnes de cyberespionnage attribuées à des groupes liés au renseignement russe ont ciblé les réseaux wifi d’hôtels et de centres de conférences en Europe et aux États-Unis. Les attaquants ne se contentent plus d’intercepter du trafic : ils prennent le contrôle de points d’accès pour injecter des pages de connexion piégées et détourner des authentifications Microsoft 365.
Ce changement de méthode redéfinit le niveau de menace associé à une simple connexion wifi dans un espace public.
Lire également : Les failles dans les objets connectés menacent la vie privée
Attaques sur les wifi publics : ce qui a changé côté attaquant
La plupart des guides de sécurité wifi partent du principe que le réseau est passif, que le danger vient d’un individu qui écoute le trafic depuis un coin de la salle. Cette hypothèse est dépassée.
Les campagnes documentées en 2026 montrent une approche différente. Le groupe Midnight Blizzard, lié au renseignement russe, a compromis directement les portails captifs de plusieurs hôtels pour y insérer de fausses pages d’authentification Microsoft 365 et Entra ID. Un voyageur d’affaires qui se connecte au wifi de l’hôtel et tombe sur une page Microsoft familière n’a aucune raison de se méfier. Il saisit ses identifiants, qui partent directement vers l’attaquant.
Lire également : ODT en DOCX en toute sécurité : protéger vos documents sensibles
L’attaquant contrôle le point d’accès lui-même, pas seulement le trafic qui y transite. C’est une distinction technique avec des conséquences concrètes : un VPN activé après la connexion ne protège pas contre un portail captif piégé, puisque l’interaction avec la fausse page a lieu avant que le tunnel chiffré ne s’établisse.
Des variantes de cette méthode incluent la livraison de malwares via des mises à jour logicielles simulées, proposées par le portail d’accès compromis. Les cibles documentées sont des hôtels, des centres de conférences et d’autres lieux publics fréquentés par des profils à haute valeur (diplomates, cadres, chercheurs).
Auto-connexion wifi et attaques evil twin : le maillon faible côté terminal
Le second angle mort se situe sur les terminaux eux-mêmes. Smartphones et ordinateurs portables conservent en mémoire les noms des réseaux auxquels ils se sont déjà connectés. Par défaut, ils s’y reconnectent automatiquement dès qu’un réseau portant le même nom (SSID) est détecté.
Cette fonction facilite les attaques dites evil twin : un attaquant crée un point d’accès portant le même SSID qu’un réseau connu (« Hotel_Wifi », « Gare_Wifi_Gratuit »). Le terminal de la victime s’y connecte sans intervention humaine. L’attaquant intercepte alors l’ensemble du trafic non chiffré et peut injecter du contenu malveillant.
Les attaques de type KARMA poussent le mécanisme plus loin. Le faux point d’accès répond à toutes les requêtes de connexion automatique, quel que soit le SSID demandé par le terminal. Le téléphone cherche « Café_Centre » et le point d’accès malveillant répond « oui, c’est moi ». La connexion s’établit en silence.
Contre-mesures côté terminal
Désactiver l’auto-connexion pour les réseaux ouverts reste la mesure la plus directe. Sur iOS et Android, le paramètre existe mais n’est pas activé par défaut. Sur les parcs de terminaux gérés par une entreprise, les recommandations récentes préconisent de maintenir une liste blanche de SSID autorisés et de bloquer la connexion à tout réseau non référencé.
- Supprimer régulièrement les réseaux wifi enregistrés sur le terminal, en particulier ceux d’hôtels, d’aéroports ou de cafés visités ponctuellement.
- Désactiver le wifi lorsque la connexion n’est pas utilisée activement, pour éviter que le terminal ne diffuse en continu la liste des réseaux qu’il recherche.
- Sur les systèmes d’exploitation récents, activer la randomisation d’adresse MAC pour limiter le pistage entre différents points d’accès.
VPN sur wifi public : protection réelle et limites techniques
Le VPN reste un outil pertinent, mais son périmètre de protection est souvent surestimé. Un VPN chiffre le trafic entre le terminal et le serveur VPN, ce qui empêche un attaquant positionné sur le réseau local de lire les données en transit. C’est une protection efficace contre l’écoute passive et contre certaines formes d’injection de contenu.
En revanche, le VPN ne protège pas contre les interactions qui précèdent l’établissement du tunnel. Sur la plupart des réseaux publics avec portail captif, le terminal doit d’abord se connecter au réseau, passer par la page d’authentification du portail, puis seulement activer le VPN. Toute donnée saisie sur le portail captif échappe au chiffrement VPN.
Pour les organisations qui traitent le wifi public comme un environnement hostile (ce qui correspond aux politiques de sécurité renforcées adoptées par plusieurs entreprises en 2026), la consigne est de ne jamais saisir d’identifiants professionnels sur un portail captif, même si l’interface paraît familière. L’alternative consiste à utiliser le partage de connexion depuis un téléphone en 4G/5G, qui ne transite pas par l’infrastructure wifi locale.
Obligations légales des fournisseurs d’accès wifi public en France
Les établissements qui fournissent un accès internet au public (hôtels, restaurants, médiathèques, transports) sont soumis à des obligations de conservation des données de trafic. Selon la CNIL, ces données de trafic incluent l’adresse IP de l’appareil utilisé, la date, l’heure et la durée de chaque connexion, ainsi que les données permettant d’identifier le destinataire d’une communication.
- Les responsables de ces espaces doivent conserver ces informations pendant une durée définie par la réglementation, tout en respectant les principes de protection des données personnelles.
- Les utilisateurs disposent de droits sur leurs données, y compris le droit d’accès et de rectification auprès du responsable du lieu.
- Les mesures de sécurité exigées du fournisseur d’accès concernent aussi bien la protection du réseau que celle des données des utilisateurs.
Ces obligations ne garantissent pas la sécurité de la connexion elle-même. Un établissement peut être en parfaite conformité réglementaire tout en opérant un réseau vulnérable aux attaques décrites plus haut. La conformité porte sur la conservation et la protection des données de trafic, pas sur la résistance du réseau aux compromissions.
Le wifi public en 2026 n’est plus un simple réseau ouvert où le risque se limite à une écoute passive. Les attaques documentées montrent des compromissions directes d’infrastructures, des portails captifs piégés et une exploitation systématique des mécanismes d’auto-connexion. La protection repose moins sur un outil unique que sur une combinaison de réflexes : désactiver l’auto-connexion, ne pas saisir d’identifiants sur un portail captif, privilégier le partage de connexion mobile quand la confidentialité des échanges le justifie.
