Détournement DNS Wi-Fi d’hôtel : comment les pirates ciblent vos comptes Microsoft 365 en 2025

Selon une récente enquête de ReliaQuest, des cybercriminels modifient les paramètres DNS des points d’accès Wi-Fi dans des hôtels et centres de conférence pour rediriger les utilisateurs vers des pages de connexion Microsoft 365 frauduleuses. Cette campagne, active depuis au moins juin 2025, cible des employés en déplacement professionnel dans des secteurs variés tels que la finance, la santé, l’énergie ou le conseil juridique. Comprendre ce mode opératoire est essentiel pour protéger vos accès professionnels et vos données sensibles.

Pourquoi le Wi-Fi d’hôtel est une cible privilégiée pour le détournement DNS

Les hôtels et centres de conférence accueillent régulièrement des voyageurs d’affaires qui se connectent avec leurs appareils professionnels. Cette population constitue une cible de choix pour les attaquants cherchant à dérober des identifiants Microsoft 365.

Un accès à des données sensibles

Les employés en déplacement accèdent souvent à leurs emails, documents internes et applications métier via leur compte Microsoft 365. En piratant ces comptes, les attaquants peuvent obtenir des informations confidentielles, des communications stratégiques et des fichiers privés. ReliaQuest confirme que les organisations touchées incluent des secteurs comme les services financiers, juridiques, la santé et l’énergie, ce qui montre que l’attaque n’est pas sectorielle mais vise les employés mobiles.

Une vulnérabilité des infrastructures Wi-Fi

L’accès initial aux équipements Wi-Fi (passerelles, routeurs) reste flou, mais les chercheurs estiment que les pirates exploitent des interfaces de gestion exposées et faiblement protégées (SSH, SNMP, panneaux d’administration web) ou des vulnérabilités logicielles. Une fois l’accès administrateur obtenu, ils modifient les paramètres DNS de la passerelle pour rediriger les requêtes vers des serveurs malveillants.

“Nous avons observé du trafic vers ces passerelles compromises provenant d’organisations de nombreux secteurs, confirmant qu’il ne s’agit pas d’un ciblage sectoriel, mais d’une campagne qui vise très probablement les employés en déplacement partout où ils se connectent.” - ReliaQuest

Le déroulement de l’attaque : du DNS modifié au vol de session

Étape 1 : Modification des paramètres DNS

L’attaquant, après avoir pris le contrôle de la passerelle Wi-Fi, change les serveurs DNS par défaut. Ainsi, lorsqu’un utilisateur tente d’accéder à un site légitime comme login.microsoftonline.com, sa requête est redirigée vers un serveur DNS contrôlé par le pirate.

Étape 2 : Redirection vers des pages de phishing

Le serveur DNS malveillant répond avec l’adresse IP d’un site de phishing imitant la page de connexion Microsoft 365. Les chercheurs ont identifié au moins quatre domaines utilisés : m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com et ms365-live[.]com.

Étape 3 : Vol d’identifiants ou contournement de l’authentification multifacteur

Deux scénarios sont possibles :

• Phishing classique : l’utilisateur saisit son identifiant et son mot de passe sur la page frauduleuse, qui sont alors récoltés par l’attaquant.
• Détournement de flux d’authentification par code d’appareil : l’utilisateur est redirigé vers une page Microsoft 365 légitime, mais avec une invite demandant d’approuver une demande de connexion initiée par l’attaquant. En approuvant, l’utilisateur génère un jeton OAuth légitime que le pirate récupère, contournant ainsi totalement l’authentification multifacteur (MFA).

“Ce que l’utilisateur ne voit pas, c’est qu’en approuvant l’invite, il autorise une session initiée par l’attaquant.” - ReliaQuest

Étape 4 : Utilisation du Web Proxy Auto-Discovery (WPAD)

Dans environ un tiers des cas observés, les attaquants ont également tenté d’abuser du protocole WPAD. En répondant à la requête automatique de Windows avec un fichier de configuration proxy malveillant (PAC), ils peuvent rediriger tout le trafic HTTP/HTTPS via un proxy contrôlé, même pour des applications comme Chrome. ReliaQuest n’a toutefois pas confirmé le succès de cette technique.

Comment se protéger contre le détournement DNS Wi-Fi en 2025

Utiliser un VPN toujours actif en mode tunnel intégral

La mesure la plus efficace reste l’utilisation d’un VPN d’entreprise configuré en mode tunnel intégral (full-tunnel). Cela chiffre l’intégralité du trafic depuis l’appareil jusqu’au serveur VPN, rendant les modifications DNS locales inefficaces. Même si la passerelle Wi-Fi est compromise, le trafic reste protégé.

Activer le DNS chiffré en mode strict

Le DNS chiffré (DNS over HTTPS ou DNS over TLS) en mode strict empêche le système d’utiliser un DNS non chiffré. Cependant, attention : comme le souligne ReliaQuest, l’utilisation de DNS publics comme 8.8.8.8 ne protège pas si la passerelle forge les requêtes DNS en texte clair avant qu’elles n’atteignent le résolveur. Le chiffrement doit donc être activé et configuré en mode strict.

Désactiver le WPAD

Le protocole WPAD est rarement nécessaire dans un contexte professionnel. Sa désactivation via les stratégies de groupe ou le registre Windows réduit la surface d’attaque.

Désactiver le flux d’authentification par code d’appareil

Dans Microsoft Entra ID (anciennement Azure AD), le flux d’authentification par code d’appareil (Device Code flow) peut être désactivé s’il n’est pas utilisé. Cela empêche les attaquants de l’exploiter pour contourner la MFA.

Vérifier les journaux d’activité

Les équipes de sécurité doivent analyser régulièrement les journaux de connexion Microsoft 365 pour détecter des tentatives suspectes, notamment des authentifications depuis des adresses IP inconnues ou des horaires inhabituels.

Tableau comparatif : mesures de protection contre le détournement DNS Wi-Fi

Exemple concret : un employé en déplacement à Paris

Imaginons un consultant financier séjournant dans un hôtel parisien pour une conférence. Il se connecte au Wi-Fi de l’hôtel avec son ordinateur professionnel. La passerelle Wi-Fi a été compromise la veille par un attaquant qui a modifié les DNS. Le consultant ouvre Outlook et tente de se connecter à Microsoft 365. Il est redirigé vers une page imitant parfaitement la page de connexion légitime. Il saisit son mot de passe et valide une notification MFA sur son téléphone, pensant qu’il s’agit d’une connexion normale. En réalité, l’attaquant a déjà intercepté ses identifiants et utilisé le jeton OAuth pour accéder à sa boîte mail et à ses documents internes. Le lendemain, des emails confidentiels sont exfiltrés vers un serveur externe.

L’importance de la sensibilisation des collaborateurs

Au-delà des mesures techniques, la formation des employés est cruciale. Ils doivent être capables de :

• Identifier les signes d’une page de phishing : URL inhabituelle, certificat SSL invalide, design légèrement différent.
• Ne jamais approuver une notification MFA sans avoir initié soi-même la connexion.
• Utiliser systématiquement le VPN d’entreprise lorsqu’ils se connectent à un réseau Wi-Fi public ou d’hôtel.
• Signaler tout comportement suspect au service informatique.

Le rôle des hébergeurs et des fournisseurs Wi-Fi

Les hôtels et centres de conférence doivent également prendre leurs responsabilités en matière de sécurité Wi-Fi. Ils devraient :

• Isoler le réseau Wi-Fi des clients du réseau de gestion des équipements.
• Mettre à jour régulièrement le firmware des points d’accès et des passerelles.
• Désactiver les interfaces de gestion exposées sur Internet ou les protéger par une authentification forte.
• Surveiller les modifications de configuration des équipements réseau.

Conclusion : agir dès maintenant pour sécuriser vos accès Microsoft 365

Le détournement DNS Wi-Fi en milieu hôtelier représente une menace sérieuse et actuelle pour les entreprises en 2025. Les attaquants exploitent la confiance des utilisateurs dans les réseaux légitimes et la complexité des infrastructures pour voler des identifiants et contourner l’authentification multifacteur. La solution ne repose pas sur une seule mesure, mais sur une combinaison de protections techniques (VPN full-tunnel, DNS chiffré, désactivation du WPAP et du Device Code flow) et de sensibilisation des collaborateurs. En adoptant ces bonnes pratiques, vous réduirez considérablement le risque de compromission de vos comptes Microsoft 365 lors de vos déplacements professionnels.

Liste de vérification rapide avant un déplacement

1. Installer et configurer le VPN d’entreprise en mode tunnel intégral.
2. Activer le DNS chiffré en mode strict sur votre appareil.
3. Vérifier que le WPAD est désactivé dans les paramètres Windows.
4. Confirmer que le flux Device Code est désactivé dans Microsoft Entra ID (si non nécessaire).
5. Informer votre équipe sécurité de votre déplacement et des risques associés.
6. Ne jamais approuver une notification MFA sans avoir démarré la connexion vous-même.

En appliquant ces mesures, vous transformez une vulnérabilité potentielle en une posture de sécurité renforcée, même face à des attaquants aussi déterminés que ceux derrière cette campagne de détournement DNS.