Détournement DNS dans les hôtels : une menace sérieuse pour vos comptes Microsoft 365

Imaginez-vous connecté au Wi-Fi de votre hôtel, prêt à consulter vos emails professionnels. En quelques secondes, sans aucun signe suspect, vos identifiants Microsoft 365 sont compromis, et votre boîte de réception est entre les mains d’un attaquant. Selon une enquête récente de ReliaQuest, cette menace n’est plus hypothétique : depuis au moins juin 2026, des pirates informatiques modifient les paramètres DNS des points d’accès Wi-Fi dans des hôtels et centres de conférence pour dérober des comptes Microsoft 365. Cette campagne cible les voyageurs d’affaires, visant des secteurs aussi variés que la finance, la santé, le droit ou l’énergie. Dans cet article, nous décortiquons le mode opératoire de cette attaque, ses implications pour votre sécurité, et les mesures concrètes pour vous protéger.

Comprendre le détournement DNS : le fondement de l’attaque

Le système de noms de domaine (DNS) est l’annuaire téléphonique d’Internet : il traduit les noms de domaine lisibles par l’homme (comme login.microsoftonline.com) en adresses IP numériques. Lorsque vous vous connectez à un réseau Wi-Fi, votre appareil interroge généralement le serveur DNS fourni par le routeur ou la passerelle du réseau. Dans le cadre de cette campagne, les attaquants prennent le contrôle de ces passerelles Wi-Fi et modifient leurs paramètres DNS.

Comment les pirates accèdent-ils aux passerelles Wi-Fi ?

Le point de départ exact de l’attaque reste flou, mais les chercheurs de ReliaQuest avancent plusieurs hypothèses. Les pirates pourraient exploiter des interfaces de gestion exposées et faiblement protégées, comme SSH, SNMP ou les panneaux d’administration web. De nombreux équipements réseau dans les hôtels sont configurés avec des mots de passe par défaut ou des identifiants obsolètes, ce qui en fait des cibles faciles. Une autre possibilité est l’exploitation de vulnérabilités logicielles non corrigées sur ces appareils. Une fois l’accès administrateur obtenu, le pirate peut modifier à volonté les paramètres DNS de la passerelle.

Le détournement en action : de la requête légitime à la page piégée

Une fois le DNS modifié, toute tentative d’accès à un site légitime peut être redirigée vers un serveur contrôlé par l’attaquant. Dans le cas présent, les pirates ont enregistré plusieurs domaines imitant les pages de connexion Microsoft 365 : m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com et ms365-live[.]com. Lorsqu’un utilisateur tape portal.office.com dans son navigateur, la passerelle malveillante le redirige vers l’une de ces fausses pages, visuellement identiques à l’originale.

“Ce que l’utilisateur ne peut pas voir, c’est que l’approbation de l’invite autorise une session initiée par l’attaquant.” - ReliaQuest

Cette technique est particulièrement redoutable car elle contourne les mécanismes de sécurité classiques. Même l’utilisation de serveurs DNS publics comme Google DNS (8.8.8.8) ne protège pas : la passerelle peut forger les requêtes DNS en texte clair avant qu’elles n’atteignent le résolveur légitime.

Les cibles visées : voyageurs d’affaires et secteurs stratégiques

La campagne ne semble pas cibler un secteur en particulier, mais plutôt tout employé en déplacement professionnel se connectant à un réseau Wi-Fi d’hôtel ou de centre de conférence. ReliaQuest a observé du trafic provenant d’organisations dans des secteurs variés :

• Services financiers
• Services professionnels (conseil, audit)
• Secteur juridique
• Santé
• Énergie
• Commerce de détail

Les points d’accès compromis ont été identifiés dans plusieurs villes américaines, ainsi qu’en Inde et en Arabie Saoudite. Cette portée géographique suggère une campagne structurée, probablement menée par un groupe étatique. Les chercheurs établissent un parallèle avec les opérations du groupe FrostArmada, attribué à l’unité de renseignement russe APT28 (Fancy Bear).

Pourquoi les comptes Microsoft 365 sont-ils une cible de choix ?

Microsoft 365 est la plateforme de productivité la plus utilisée en entreprise. Un accès à un compte compromis peut ouvrir la porte à des informations sensibles : emails, documents internes, calendriers de réunions, et surtout, l’accès à d’autres applications via l’authentification unique (SSO). Pour les voyageurs d’affaires, le risque est décuplé : ils manipulent souvent des données confidentielles en déplacement, et leur vigilance est parfois moindre après une longue journée de travail.

Le contournement de l’authentification multifacteur (MFA) : le point critique

L’aspect le plus préoccupant de cette attaque est sa capacité à contourner l’authentification multifacteur (MFA), pourtant considérée comme une protection de base. Les pirates utilisent un flux d’authentification par code d’appareil (device-code authentication flow).

Le mécanisme du code d’appareil

Dans ce scénario, l’utilisateur est redirigé vers une page de phishing qui affiche un code et lui demande de le saisir sur une page Microsoft légitime (par exemple microsoft.com/devicelogin). En réalité, le code a été généré par l’attaquant, qui a initié une session d’authentification. Lorsque l’utilisateur saisit le code et approuve la demande sur son appareil, un jeton OAuth légitime est émis par Microsoft et transmis à l’attaquant. Ce jeton permet d’accéder aux ressources sans jamais avoir besoin du mot de passe ni du second facteur.

“L’autorisation de la requête initiée par l’attaquant provoque l’émission d’un jeton OAuth légitime vers le client de l’attaquant.” - ReliaQuest

Cette technique est particulièrement sournoise car elle ne vole ni identifiants ni jetons d’accès ; elle détourne le processus d’authentification légitime lui-même.

L’exploitation de WPAD comme vecteur secondaire

Dans environ un tiers des cas observés, les attaquants ont également tenté d’abuser du mécanisme Web Proxy Auto-Discovery (WPAD). WPAD permet aux navigateurs de détecter automatiquement un proxy sur le réseau. En répondant à la requête WPAD de Windows avec un fichier de configuration proxy malveillant (PAC), les pirates peuvent rediriger tout le trafic HTTP/HTTPS via un serveur proxy contrôlé. Bien que ReliaQuest n’ait pas confirmé le succès de cette méthode, elle ajoute une couche de complexité à la menace.

Mesures de protection : comment sécuriser vos déplacements professionnels

Face à cette menace, la vigilance ne suffit pas. Voici les recommandations des experts pour protéger vos comptes et vos données lors de vos déplacements.

Utiliser un VPN en tunnel intégral

La mesure la plus efficace est l’utilisation d’un VPN d’entreprise en mode tunnel intégral (full-tunnel). Ce type de VPN chiffre l’intégralité du trafic réseau depuis votre appareil jusqu’au serveur VPN de votre organisation, rendant impossible toute manipulation DNS par la passerelle locale. Assurez-vous que le VPN est actif en permanence, pas seulement pour certaines applications.

Configurer un DNS chiffré en mode strict

Le DNS chiffré (DNS over HTTPS ou DNS over TLS) protège vos requêtes DNS contre l’interception et la modification. En mode strict, votre appareil refuse toute requête DNS non chiffrée. Combinez cette mesure avec un résolveur DNS de confiance pour une protection optimale.

Désactiver le flux d’authentification par code d’appareil

La fonctionnalité de code d’appareil dans Microsoft Entra ID (anciennement Azure AD) est utile dans certains scénarios, mais elle représente un risque dans ce contexte. Si elle n’est pas indispensable, désactivez-la via les paramètres d’authentification de votre locataire Microsoft 365.

Désactiver WPAD sur les postes de travail

WPAD est un protocole ancien et rarement nécessaire dans les configurations modernes. Sa désactivation peut se faire via les stratégies de groupe (GPO) ou le registre Windows. Cette action simple élimine un vecteur d’attaque potentiel.

Vérifier les logs et surveiller les connexions suspectes

Les équipes de sécurité doivent examiner les logs d’authentification pour détecter des connexions inhabituelles, notamment celles provenant d’adresses IP associées à des hôtels ou des centres de conférence. Des alertes peuvent être configurées pour les tentatives de connexion depuis des emplacements géographiques inattendus ou en dehors des heures de travail.

Tableau comparatif : mesures de protection et leur efficacité

Mise en œuvre pratique : étapes pour renforcer votre sécurité

Voici une procédure concrète pour les équipes IT et de sécurité.

1. Auditer les configurations VPN : vérifiez que votre solution VPN propose un mode tunnel intégral et qu’elle est déployée sur tous les postes mobiles. Testez la connexion depuis un réseau externe pour confirmer que tout le trafic passe par le VPN.
2. Configurer le DNS chiffré : déployez une stratégie de groupe pour activer DNS over HTTPS sur les postes Windows. Utilisez un résolveur comme Cloudflare (1.1.1.1) ou Quad9 (9.9.9.9) en mode strict.
3. Désactiver le flux de code d’appareil : dans le portail Microsoft Entra ID, accédez à “Authentification” > “Méthodes d’authentification” et désactivez l’option “Code d’appareil” si elle n’est pas utilisée.
4. Désactiver WPAD : via une GPO, définissez la clé de registre HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Wpad sur une valeur désactivant la détection automatique.
5. Mettre en place une surveillance : configurez des alertes dans votre SIEM pour les connexions Microsoft 365 depuis des adresses IP associées à des réseaux hôteliers. Examinez les logs pour détecter des authentifications par code d’appareil inhabituelles.
6. Former les utilisateurs : sensibilisez les voyageurs d’affaires aux risques des réseaux Wi-Fi publics et à l’importance de maintenir le VPN actif en permanence.

Exemple concret : le scénario d’un consultant en déplacement

Imaginez un consultant en stratégie, basé à Paris, qui se rend à une conférence à Lyon. Il arrive à son hôtel, se connecte au Wi-Fi avec le mot de passe fourni à la réception, et ouvre Outlook pour vérifier ses emails. La passerelle Wi-Fi de l’hôtel a été compromise la veille. Sa requête DNS pour outlook.office365.com est redirigée vers owa-ms365[.]com. La page qui s’affiche est identique à celle de Microsoft. Il entre son email et son mot de passe, puis reçoit une invite pour un code d’appareil. Pensant qu’il s’agit d’une vérification de sécurité normale, il saisit le code affiché sur la page. En quelques secondes, l’attaquant obtient un jeton d’accès valide. Le consultant peut continuer à utiliser sa boîte mail normalement, sans se douter que son compte est compromis. Le lendemain, l’attaquant accède à ses emails, télécharge des documents confidentiels et planifie une attaque de spear-phishing contre ses collègues.

Conclusion : une vigilance accrue pour les déplacements professionnels

Le détournement DNS dans les hôtels représente une menace sophistiquée et discrète, capable de contourner des protections avancées comme le MFA. En ciblant les voyageurs d’affaires, les attaquants exploitent une vulnérabilité humaine et technique : la confiance dans les réseaux hôteliers et la complexité des mécanismes d’authentification modernes. La protection repose sur une approche multicouche : VPN permanent, DNS chiffré, désactivation des fonctionnalités à risque et formation des utilisateurs. Ne laissez pas une simple connexion Wi-Fi compromettre vos comptes Microsoft 365. Agissez dès maintenant pour sécuriser vos déplacements professionnels.