Vous ouvrez votre ordinateur portable dans une chambre d'hôtel ou une salle de conférence, vous cliquez sur l'icône Wi-Fi, et une fenêtre de navigateur s'affiche pour vous demander de vous connecter ou d'accepter des conditions avant d'accéder à Internet. La plupart du temps, c'est tout à fait normal — on appelle ça un portail captif, et les hôtels, les aéroports et les centres de conférence l'utilisent pour contrôler l'accès à leur réseau. Mais cette même page de connexion constitue aussi un déguisement quasi parfait pour un attaquant, car vous vous attendez à en voir une, vous êtes pressé, et vous n'avez aucun moyen de vérifier de façon indépendante qui a réellement conçu la page que vous avez sous les yeux.

Des chercheurs de Microsoft ont récemment révélé une campagne, baptisée « CaptiveCrunch », dans laquelle des attaquants s'étaient positionnés au sein de réseaux Wi-Fi d'hôtels et de conférences et manipulaient le trafic que voyaient les voyageurs à ce moment précis — redirigeant les sessions de portails captifs vers de fausses pages de connexion (y compris de convaincants faux écrans de connexion Microsoft) conçues pour récupérer mots de passe, codes d'appareil et jetons OAuth, ou pour faire apparaître de fausses fenêtres « mise à jour requise » qui installent un logiciel malveillant d'accès à distance capable de lire les frappes clavier et d'activer une webcam ou un microphone. Il ne s'agit pas de dire que chaque connexion Wi-Fi d'hôtel est un piège — la grande majorité ne l'est pas. Il s'agit de souligner que ce moment précis, où l'on s'attend à ce que vous saisissiez quelque chose sur une page inconnue avant même d'être en ligne, constitue une cible facile, et qu'il vaut la peine d'avoir une routine pour y faire face.

Pourquoi ce moment diffère du phishing classique

Les formations classiques contre le phishing vous apprennent à vérifier l'expéditeur, à survoler les liens, à chercher un cadenas. Les portails captifs mettent à mal la plupart de ces réflexes. Vous n'avez pas navigué vous-même vers cette page — votre appareil y a été redirigé automatiquement. Il n'y a pas d'adresse « De : » à vérifier. La page se charge souvent sans barre d'adresse normale visible (certains systèmes d'exploitation l'ouvrent dans une fenêtre de navigateur allégée), et vous vous trouvez peut-être sur un réseau que vous ne contrôlez pas et ne pouvez pas vérifier — de sorte que même un cadenas HTTPS qui semble correct vous indique seulement que la connexion à cette page est chiffrée, pas que la page elle-même est légitime ni que le réseau ne manipule pas ce que vous voyez.

Ce qu'un portail captif légitime devrait — et ne devrait pas — vous demander

Utilisez ceci comme filtre de base chaque fois qu'une de ces pages apparaît :

  • Normal : votre nom de famille et votre numéro de chambre, un badge de conférence ou un code d'inscription, l'acceptation des conditions d'utilisation, une adresse e-mail pour un reçu, ou un code à usage unique envoyé par SMS pour vérifier que vous êtes bien un client payant.
  • Pas normal : une demande de connexion avec votre compte Microsoft, Google, Apple ou votre identité professionnelle. Un véritable système Wi-Fi d'établissement n'a aucune raison légitime d'avoir besoin de votre mot de passe Microsoft pour vous accorder l'accès à Internet.
  • Pas normal : une invite à saisir un « code d'appareil » affiché ailleurs, ou une page qui indique quelque chose comme « rendez-vous sur microsoft.com/devicelogin et saisissez ce code ». Il s'agit d'une véritable fonctionnalité Microsoft (utilisée pour se connecter à des appareils comme les téléviseurs connectés), que les attaquants détournent précisément parce qu'elle leur permet de s'emparer de votre compte sans jamais voir votre mot de passe. Si une page de connexion Wi-Fi vous guide à travers un processus de code d'appareil, arrêtez-vous — fermez le navigateur et n'allez pas plus loin.
  • Pas normal : toute fenêtre pop-up vous indiquant que votre navigateur ou Windows a besoin d'une mise à jour urgente, surtout si elle vous demande de copier une commande et de la coller dans une boîte « Exécuter » ou un terminal pour « réparer » la connexion. Ce schéma (parfois appelé ClickFix) est une technique courante pour amener les gens à installer eux-mêmes un logiciel malveillant, et aucun portail Wi-Fi légitime n'a jamais besoin que vous exécutiez une commande.

Étape par étape : se connecter en toute sécurité

  1. Avant de voyager, désactivez la connexion automatique aux réseaux ouverts. Sur votre téléphone : Réglages → Wi-Fi → désactivez « Connexion automatique » ou « Auto-Join » pour les réseaux ouverts/non sécurisés (le libellé exact varie selon l'appareil). Cela empêche votre appareil de se reconnecter silencieusement, plus tard et sans que vous vous en aperceviez, à un réseau malveillant portant un nom similaire.
  2. Oubliez les anciens réseaux publics que vous n'utilisez plus. Si votre ordinateur portable ou votre téléphone a enregistré « Airport_Free_WiFi » ou un ancien réseau d'hôtel, supprimez-le. Des attaquants peuvent diffuser un réseau portant le même nom (un « evil twin ») et votre appareil peut s'y connecter automatiquement parce qu'il reconnaît ce nom.
  3. Lorsque vous rejoignez le vrai réseau, indiquez qu'il est public/non fiable. Windows comme macOS vous demandent si un nouveau réseau est un réseau « public » ou « privé »/« de confiance » — choisissez public. Cela désactive le partage de fichiers et la découverte réseau, limitant ce que le reste des appareils du réseau peut voir ou atteindre sur le vôtre.
  4. Lisez la page du portail avant de taper quoi que ce soit. Comparez-la à la liste « normal / pas normal » ci-dessus. Si elle demande une connexion via un fournisseur d'identité, un code d'appareil, ou si elle veut vous faire exécuter une commande, fermez l'onglet, et demandez plutôt à la réception ou au comptoir d'inscription le nom exact du réseau et le mot de passe — ne faites pas confiance à une page pour vous dire comment s'appelle le réseau.
  5. Ne saisissez que le minimum requis par le portail — généralement un numéro de chambre, un nom de famille, ou un code qui vous a été remis en main propre. Ne saisissez jamais votre mot de passe e-mail ou un compte que vous utilisez ailleurs.
  6. Une fois passé le portail, activez un VPN avant de faire quoi que ce soit d'autre. C'est l'étape la plus efficace à elle seule, car elle garantit que même si le réseau lui-même est hostile, tout ce qui se passe ensuite est chiffré dans un tunnel que l'opérateur du réseau (ou un attaquant qui s'y trouve) ne peut ni lire ni rediriger. Faites-le avant de consulter vos e-mails, de vous connecter à quoi que ce soit, ou d'ouvrir des applications bancaires.
  7. Si vous n'avez pas de VPN, reportez à plus tard les connexions sensibles ou utilisez plutôt les données mobiles de votre téléphone. Transformer votre téléphone en point d'accès personnel et y connecter votre ordinateur portable, même brièvement, permet d'éviter entièrement le réseau de l'établissement pour tout ce qui est sensible — opérations bancaires, e-mails professionnels, déverrouillage du gestionnaire de mots de passe.
  8. Lorsque vous partez, oubliez le réseau (sur votre téléphone comme sur votre ordinateur portable) plutôt que de le laisser indéfiniment dans votre liste de réseaux enregistrés.

Si vous pensez être déjà tombé dans le piège

Si vous avez saisi un mot de passe de compte Microsoft, Google ou autre sur une page de connexion Wi-Fi, ou si vous avez validé une invite de code d'appareil que vous n'aviez pas initiée vous-même, considérez le compte comme compromis : changez immédiatement ce mot de passe depuis un réseau ou un appareil de confiance, vérifiez l'activité de connexion récente du compte ainsi que les appareils/sessions connectés, et déconnectez tout ce que vous ne reconnaissez pas, puis passez en revue les applications connectées ou les « applications ayant accès à votre compte » pour repérer tout ce que vous n'avez pas autorisé — le phishing par code d'appareil accorde spécifiquement à un attaquant un jeton sans jamais avoir besoin de votre mot de passe, de sorte qu'un simple changement de mot de passe pourrait ne pas suffire à lui retirer l'accès. Si vous avez cliqué sur une « mise à jour maintenant » ou exécuté une commande depuis une fenêtre pop-up, déconnectez cet appareil d'Internet et considérez-le comme potentiellement infecté jusqu'à ce qu'il ait été analysé ou réinitialisé, car les charges utiles décrites dans ce type de campagne ont inclus des outils capables d'enregistrer les frappes clavier et d'activer votre webcam ou votre microphone.

Ce qu'il faut retenir

Un portail captif n'est pas suspect en soi — c'est un élément normal et banal du voyage. Ce qui change le niveau de risque, c'est ce qu'on vous demande de faire. Une page qui veut votre numéro de chambre fait simplement son travail. Une page qui veut votre mot de passe Microsoft, un code d'appareil, ou une commande à coller dans un terminal n'est plus un écran de connexion Wi-Fi — c'est une page de phishing qui en porte le déguisement. Connaître la différence, et recourir à un VPN ou au point d'accès de votre téléphone pour tout ce qui est sensible, referme précisément la fenêtre dont ce type d'attaque dépend.