Wi-Fi public piégé : Microsoft alerte sur la campagne CaptiveCrunch

Microsoft affirme avoir mis au jour une vaste campagne d'espionnage baptisée « CaptiveCrunch », qui détourne les portails de connexion Wi-Fi de dizaines d'hôtels, aéroports et centres de conférence dans le monde pour piéger les voyageurs et voler leurs identifiants Microsoft 365.

Selon les équipes de Microsoft Threat Intelligence, cette opération est observée depuis début mai 2026 et est attribuée à Storm-2945, un sous-groupe rattaché à Midnight Blizzard, également connu sous les noms d'APT29 ou Cozy Bear. Les autorités américaines et britanniques associent ce groupe au service de renseignement extérieur russe, le SVR. La cible privilégiée : les voyageurs professionnels, diplomates et personnels d'organisations sensibles connectés à un réseau Wi-Fi public, souvent sans se douter que le simple fait de valider une page d'accueil hôtelière peut suffire à exposer leur appareil.

La technique décrite par Microsoft ne repose pas sur un faux point d'accès classique de type « evil twin », où un pirate imite le nom d'un réseau légitime à proximité, mais sur la prise de contrôle directe de l'infrastructure du portail captif lui-même, celui qui affiche la page de connexion avant d'autoriser l'accès à internet dans un hôtel ou un aéroport. Une fois cette passerelle compromise, elle sert aussi de résolveur DNS pour tous les appareils connectés : les pirates peuvent alors falsifier les réponses DNS et rediriger le trafic vers des pages imitant Microsoft 365, sans que l'utilisateur ne remarque quoi que ce soit d'anormal. Le procédé est particulièrement insidieux car il n'exige aucune action suspecte de la victime au-delà d'une connexion Wi-Fi banale, ce qui le rend difficile à repérer même pour un utilisateur averti.

Deux logiciels malveillants développés avec l'aide de l'IA

D'après Microsoft, l'opération vise à la fois le vol d'identifiants et le dépôt de logiciels malveillants sur les appareils compromis. Deux outils ont été identifiés : CornFlake, un cheval de Troie d'accès à distance écrit en langage Go qui installe plusieurs mécanismes de persistance et permet l'enregistrement de frappes clavier, la capture du presse-papiers, des captures d'écran, l'enregistrement audio et vidéo, le vol de fichiers ou encore la surveillance des périphériques amovibles ; et ChocoShell, davantage conçu pour extraire rapidement les identifiants les plus sensibles et ouvrir l'accès aux environnements cloud des victimes. Microsoft estime par ailleurs que Storm-2945 s'est appuyé sur des outils d'intelligence artificielle pour développer une part significative de ces deux programmes, un constat qui illustre la manière dont l'IA générative accélère désormais aussi les capacités offensives des groupes de cyberespionnage.

Les secteurs touchés par cette compromission des réseaux Wi-Fi vont bien au-delà du seul monde hôtelier : Microsoft cite l'hôtellerie, les centres de conférence et salles d'événements, les aéroports, la santé, les universités, les services financiers, les cabinets juridiques, l'énergie et le commerce de détail. La firme de Redmond n'a pas communiqué de bilan chiffré définitif des victimes, mais évoque une « compromission généralisée » de réseaux Wi-Fi liés à l'hôtellerie repérée dès le mois de mai. Ce type d'attaque n'est pas isolé : ces derniers mois, plusieurs opérations de piratage de grande ampleur ont ciblé aussi bien des infrastructures d'entreprises que des équipements grand public, à l'image de la cyberattaque ayant infecté 14 000 routeurs ASUS avec le malware KadNap, qui illustre la même logique de prise de contrôle discrète d'équipements réseau du quotidien pour espionner ou détourner du trafic à grande échelle.

Les recommandations de Microsoft face à ce piège

Face à cette menace, Microsoft recommande en priorité l'usage d'un VPN dès la connexion à un réseau Wi-Fi public, jugé être la mesure de protection la plus efficace contre ce type de détournement de trafic. L'entreprise conseille également de vérifier auprès du personnel de l'établissement le nom exact du réseau Wi-Fi avant de s'y connecter, de privilégier un partage de connexion mobile personnel pour toute opération sensible, et de rester attentif à toute demande de mise à jour ou d'installation inhabituelle apparaissant juste après la connexion à un portail captif. L'authentification multifacteur reste par ailleurs une protection complémentaire recommandée, même si les techniques de vol de jetons de session peuvent en limiter l'efficacité dans certains scénarios les plus sophistiqués.

Microsoft invite aussi les entreprises et les administrations à sensibiliser leurs collaborateurs en déplacement, en rappelant qu'une simple page de connexion Wi-Fi peut désormais servir de porte d'entrée à une opération d'espionnage étatique. Selon l'éditeur, la compromission de l'infrastructure réseau elle-même, plutôt que la simple imitation d'un point d'accès, marque une évolution notable dans la sophistication de ce type de campagne, capable de toucher un utilisateur sans qu'aucun signe visible n'alerte sur l'écran de connexion. Cette affaire rappelle que la sécurité des réseaux partagés reste un maillon faible largement sous-estimé par les usagers comme par les exploitants d'infrastructures.

Les épisodes de piratage touchant des données personnelles se multiplient par ailleurs en France, comme le montre la cyberattaque ayant exposé les données de 8 millions de Français via la CAF. Pour les entreprises et les voyageurs, la vigilance sur les réseaux Wi-Fi publics s'impose donc désormais comme un réflexe de cybersécurité à part entière, au même titre que la mise à jour régulière des logiciels ou la méfiance envers les liens reçus par e-mail. Microsoft indique poursuivre son enquête pour identifier l'ensemble des infrastructures compromises et prévient que la campagne CaptiveCrunch pourrait continuer d'évoluer dans les prochains mois.