Hôtels et centres d'affaires : comment les pirates détournent le DNS Wi-Fi pour voler vos comptes Microsoft 365

Imaginez-vous connecté au Wi-Fi d’un hôtel lors d’un déplacement professionnel, ouvrant votre boîte mail Microsoft 365 sans méfiance. En quelques secondes, vos identifiants d’accès, vos documents sensibles et vos communications d’entreprise peuvent être compromis. Selon une enquête récente de ReliaQuest, des pirates modifient les paramètres DNS des points d’accès Wi-Fi dans des hôtels et centres de conférence aux États-Unis, en Inde et en Arabie Saoudite, redirigeant les utilisateurs vers de fausses pages de connexion Microsoft 365. Cette campagne, active depuis au moins juin 2026, cible des employés en déplacement dans les secteurs financiers, juridiques, de la santé, de l’énergie et de la vente au détail. Comprendre ce mode opératoire devient essentiel pour toute entreprise soucieuse de la sécurité de ses données mobiles.

Comprendre le détournement DNS sur les réseaux Wi-Fi d’hôtels

Qu’est-ce que le DNS et pourquoi est-il vulnérable ?

Le Domain Name System (DNS) est l’annuaire téléphonique d’Internet : il traduit les noms de domaine (comme login.microsoftonline.com) en adresses IP. Lorsque vous vous connectez à un réseau Wi-Fi, votre appareil utilise généralement les serveurs DNS fournis par la passerelle du réseau. Dans une attaque par détournement DNS, un attaquant modifie ces paramètres sur la passerelle elle-même. Ainsi, lorsque vous tapez l’adresse légitime de Microsoft, votre requête est redirigée vers un serveur contrôlé par le pirate, qui affiche une page de connexion factice.

Comment les pirates accèdent-ils aux passerelles Wi-Fi ?

Le mode d’accès initial reste flou, mais ReliaQuest identifie plusieurs vecteurs probables :

• Interfaces d’administration exposées : des ports SSH, SNMP ou des panneaux d’administration web faiblement protégés.
• Mots de passe par défaut ou faibles : de nombreux équipements hôteliers conservent des identifiants d’usine.
• Vulnérabilités non corrigées : des failles logicielles sur les routeurs ou points d’accès.

Une fois l’accès administrateur obtenu, le pirate modifie les paramètres DNS de la passerelle pour rediriger les requêtes vers des domaines malveillants. ReliaQuest a identifié quatre domaines enregistrés pour cette campagne : m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com et ms365-live[.]com.

L’ampleur géographique et sectorielle de la menace

Les chercheurs ont observé du trafic vers ces passerelles compromises depuis des organisations de plusieurs secteurs : services financiers, services professionnels, juridique, santé, énergie et vente au détail. « Cela confirme qu’il ne s’agit pas d’un ciblage sectoriel spécifique, mais d’une campagne qui vise très probablement les employés en déplacement partout où ils se connectent », explique ReliaQuest. Les villes américaines concernées incluent des hubs d’affaires majeurs, tandis que des cas ont été signalés en Inde et en Arabie Saoudite.

La chaîne d’attaque détaillée : du DNS compromis au vol de compte

Étape 1 : Redirection DNS vers des pages de phishing

Après avoir modifié les paramètres DNS de la passerelle, le pirate fait en sorte que toute tentative d’accès à des domaines légitimes de Microsoft (comme login.microsoftonline.com) aboutisse sur l’un des domaines malveillants. La page affichée est une copie quasi parfaite de l’interface de connexion Microsoft 365. L’utilisateur, pensant être sur le site officiel, saisit son identifiant et son mot de passe.

Étape 2 : Contournement de l’authentification multifacteur (MFA)

Dans certains cas, les chercheurs ont observé un flux d’authentification par code d’appareil (device-code authentication flow). Concrètement, l’utilisateur est redirigé vers une page Microsoft factice qui lui demande d’approuver une demande de connexion. Ce que l’utilisateur ignore, c’est que cette demande a été initiée par l’attaquant. En approuvant, il autorise la délivrance d’un jeton OAuth légitime au client de l’attaquant. Ce mécanisme permet de contourner l’authentification multifacteur sans voler de mot de passe ni intercepter de jeton d’accès.

« Ce que l’utilisateur ne voit pas, c’est qu’en approuvant la demande, il autorise une session initiée par l’attaquant. » - ReliaQuest

Étape 3 : Exploitation de WPAD (Web Proxy Auto-Discovery)

Dans environ un tiers des cas investigués, les attaquants ont également tenté d’abuser du mécanisme Web Proxy Auto-Discovery (WPAD). En répondant à la requête automatique de Windows avec un fichier de configuration proxy malveillant, ils peuvent rediriger tout le trafic des applications Windows (y compris Chrome) via un proxy contrôlé. ReliaQuest n’a pas pu confirmer le succès de cette technique dans les cas observés, mais elle représente un risque supplémentaire.

Pourquoi les DNS publics (8.8.8.8) ne protègent pas

Une idée reçue courante est d’utiliser des DNS publics comme Google (8.8.8.8) pour se protéger. Or, dans cette attaque, la passerelle Wi-Fi compromet les requêtes DNS avant qu’elles n’atteignent le résolveur. Les requêtes en texte clair sont forgées localement, rendant le recours à un DNS public inefficace.

Mesures de protection concrètes pour les entreprises et les voyageurs

Utiliser un VPN en tunnel intégral et un DNS chiffré en mode strict

La recommandation principale de ReliaQuest est d’utiliser un VPN en tunnel intégral (full-tunnel VPN) activé en permanence. Cela crypte l’intégralité du trafic depuis l’appareil jusqu’au serveur VPN de l’entreprise, rendant toute modification DNS locale inopérante. En complément, configurez un DNS chiffré (DNS over HTTPS ou DNS over TLS) en mode strict, afin que les requêtes DNS soient cryptées et ne puissent être forgées par la passerelle.

Désactiver WPAD sur les postes de travail

Le mécanisme WPAD, bien que pratique pour la configuration automatique des proxies en entreprise, représente une surface d’attaque. Il est recommandé de le désactiver sur les postes de travail nomades, notamment via les stratégies de groupe Windows ou les paramètres de registre.

Désactiver le flux d’authentification par code d’appareil dans Microsoft Entra ID

Si votre organisation n’utilise pas le device-code authentication flow pour des scénarios spécifiques (comme les appareils sans navigateur), il est conseillé de le désactiver dans Microsoft Entra ID (anciennement Azure AD). Cela empêche les attaquants d’utiliser cette méthode pour contourner la MFA.

Auditer les journaux pour détecter des connexions suspectes

Les équipes de sécurité doivent surveiller les journaux de connexion Microsoft 365 pour identifier des tentatives d’authentification depuis des adresses IP inhabituelles ou des pays non habituels. Des connexions avec des agents utilisateur étranges ou des horaires décalés peuvent également être des indicateurs.

Former les employés en déplacement

La sensibilisation reste un rempart essentiel. Les voyageurs d’affaires doivent être formés à :

• Ne jamais saisir d’identifiants sur une page ouverte via un Wi-Fi public sans VPN.
• Vérifier l’URL complète avant de se connecter (attention aux domaines comme m365-owa[.]com).
• Utiliser systématiquement le VPN d’entreprise avant toute connexion à un service professionnel.

Tableau comparatif : mesures de protection face au détournement DNS

Exemple concret : scénario d’attaque réel

Un collaborateur d’un cabinet d’avocats parisien se rend à une conférence à New York. Il se connecte au Wi-Fi de l’hôtel, ouvre son navigateur et tape outlook.office.com. La passerelle compromise le redirige vers owa-ms365[.]com, une page identique à l’originale. Il saisit son identifiant et son mot de passe, puis une fenêtre contextuelle lui demande d’approuver une connexion via son téléphone. Pensant qu’il s’agit d’une vérification MFA normale, il approuve. En réalité, il vient de donner à l’attaquant un jeton OAuth valide. Le pirate peut désormais accéder à ses e-mails, à ses documents et à ses calendriers sans éveiller les soupçons.

Conclusion : une vigilance accrue pour les déplacements professionnels

Le détournement DNS sur les réseaux Wi-Fi d’hôtels et de centres d’affaires représente une menace sérieuse et actuelle pour les entreprises de toutes tailles. En combinant des techniques classiques (phishing) et avancées (détournement DNS, exploitation de WPAD, contournement MFA via device-code flow), les attaquants ciblent les employés en déplacement, maillon faible de la chaîne de sécurité. La solution ne réside pas dans une seule mesure, mais dans une approche en couches : VPN obligatoire, DNS chiffré, désactivation des protocoles superflus, audit rigoureux et formation continue. En adoptant ces bonnes pratiques, les organisations peuvent réduire significativement le risque de compromission de leurs comptes Microsoft 365 lors des déplacements professionnels.