Microsoft et les chercheurs de ReliaQuest tirent la sonnette d’alarme au sujet d’une vaste cyberattaque russe. Baptisée « CaptiveCrunch », cette campagne d’espionnage détourne le Wi-Fi des hôtels et centres de conférence pour voler des comptes Microsoft 365. L’offensive a commencé en mai dernier. Elle est orchestrée par Storm-2945, une sous-division de Midnight Blizzard, un important groupuscule criminel qui travaille pour les services de renseignement russes. Ce groupuscule est connu pour avoir orchestré diverses cyberattaques en Europe et contre Amazon l’année dernière.
Attackers are using hotel & conference Wi-Fi captive portals to access Microsoft 365 accounts—no malware or phishing needed. Travelers: use always-on, full-tunnel VPN.
See how agentic defense helps: https://t.co/bJlAbmIB0h#ReliaQuest #AgenticAI #SecOps pic.twitter.com/kAgqwA29WB
— ReliaQuest (@ReliaQuest) July 23, 2026
Comment les pirates piègent un réseau Wi-Fi
En amont de la cyberattaque, les pirates s’introduisent dans la borne Wi-Fi d’un hôtel ou d’un centre de conférence. Chaque routeur ou passerelle Wi-Fi possède une interface d’administration cachée, accessible normalement seulement au personnel technique de l’hôtel. Trop souvent, cette interface est mal protégée. Le personnel se sert d’un mot de passe faible et peu sécurisé, ou d’un mot de passe par défaut, qui n’a jamais été changé. En exploitant ces mauvaises habitudes, et des identifiants compromis trouvés en ligne, les pirates prennent le contrôle de la borne. Une fois dans l’interface d’administration, ils peuvent en modifier tous les réglages sans se faire repérer.
Microsoft is warning that state sponsored Russian attackers are abusing public hotel Wi-Fi networks to steal information from travelers worldwide.https://t.co/pXsrT8AOso
— Malwarebytes (@Malwarebytes) August 4, 2026
Les cybercriminels russes vont alors modifier les paramètres DNS de la borne. Cette modification va permettre de rediriger les utilisateurs vers des sites de phishing ou des pages de téléchargement de virus, sans que la victime ne s’en rende compte. Tout client connecté au Wi-Fi de l’hôtel est automatiquement redirigé sur un site contrôlé par les attaquants. Dès qu’un client de l’hôtel essaie d’ouvrir sa boîte mail Microsoft 365, la borne piégée l’envoie vers un faux site créé par les pirates. Sans surprise, les faux sites reprennent à la lettre le design et l’interface des sites officiels de Microsoft. La victime va alors entrer ses identifiants de connexion et son mot de passe. Ces données sont directement récupérées par les hackers russes. La victime ne clique sur aucun lien piégé et ne fait aucune erreur. C’est pourquoi la cyberattaque est redoutable.
À lire aussi : Ce malware utilise l’IA pour choisir les ordinateurs Windows qu’il va pirater
Une double authentification contournée
Dans certaines des attaques recensées, les pirates ont même trouvé le moyen de contourner la double authentification. Les hackers russes sont détourner le flux d’authentification par code d’appareil. C’est un système utilisé par Microsoft pour connecter des appareils qui n’ont pas de clavier, comme une smart TV ou une imprimante connectée, à un compte en ligne. L’appareil en question affiche un code, l’utilisateur le saisit sur son téléphone ou son PC, et la connexion est établie. En l’occurrence, ce sont les attaquants qui démarrent la procédure de connexion, pas la victime. Le faux portail Wi-Fi affiche alors le code généré à la victime, en lui demandant de le valider, comme s’il s’agissait d’une simple vérification de routine. En validant ce code, la victime croit confirmer sa propre connexion. En réalité, elle autorise l’appareil des pirates à accéder à son compte. C’est tout aussi sournois qu’efficace.
Fausses mises à jour et vrais virus
Selon les investigations menées par Microsoft, Storm-2945 profite aussi de l’occasion pour diffuser des logiciels malveillants. En se servant du réseau Wi-Fi compromis, les pirates affichent de fausses pages de mise à jour Windows sur les ordinateurs de leurs cibles. Ces pages vont enjoindre la victime de télécharger et d’installer une série de virus, dont CornFlake, un cheval de Troie qui offre un accès à distance à l’ordinateur infecté, et ChocoShell, un voleur de données qui se spécialise dans le siphonnage de cookies. Ce virus repose en grande partie sur l’IA. Les scripts d’attaque ont grandement été développés avec l’aide de l’intelligence artificielle générative.
Comme l’explique Microsoft dans son rapport, les cybercriminels s’appuient sur une tactique bien connue, intitulée ClickFix. Lors d’une attaque de cet acabit, les pirates vont manipuler l’internaute pour le pousser à réaliser lui-même des actions malveillantes sur son appareil. La cyberattaque s’est intensifiée dans le courant de l’été, avec plusieurs indices montrant que les appareils Android sont désormais également visés. Les hackers se servent maintenant de fichiers APK malveillants, diffusés sur les réseaux Wi-Fi qui sont tombés sous leur coupe.
Une attaque « à l’échelle mondiale »
Les chercheurs de ReliaQuest précisent que des attaques ont été recensées dans plusieurs villes américaines, ainsi qu’en Inde et en Arabie saoudite. De son côté, Microsoft n’hésite pas à parler d’une cyberattaque « à l’échelle mondiale ». Microsoft précise que les réseaux touchés se trouvent dans des hôtels, mais aussi des centres de conférence, des aéroports, et d’autres lieux proposant du Wi-Fi gratuit. Les pirates ciblent tous les voyageurs professionnels qui se connectent à des réseaux gratuits.
Comme toujours, on vous recommande de vous méfier des réseaux Wi-Fi mis à votre disposition dans des lieux publics, comme des hôtels. Évitez de vous servir de ces réseaux pour vous connecter à des services sensibles, comme votre compte Microsoft, votre compte bancaire ou encore votre compte PayPal. ReliaQuest et Microsoft conseillent en priorité d’utiliser le partage de connexion de son téléphone plutôt que le Wi-Fi de l’hôtel ou du centre de conférence. Si le Wi-Fi public est incontournable, il faut d’abord vous protéger en activant un VPN sur votre appareil. Le VPN empêche la borne piégée de voir et de rediriger les requêtes DNS, ce qui bloque toute tentative de cyberattaque. Une fois connecté au Wi-Fi, méfiez-vous tout particulièrement des pages proposant de télécharger une mise à jour, que ce soit de Windows ou d’un autre logiciel.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
