Campagne DNS : des Wi-Fi hôteliers piègent les comptes M365

Des hôtels transformés en pièges à identifiants Microsoft 365

La société de cybersécurité ReliaQuest a publié le 25 juillet 2026 une analyse détaillée d'une campagne d'empoisonnement DNS ciblant les réseaux Wi-Fi d'établissements hôteliers et de centres de conférence. Les attaquants accèdent aux portails d'administration des passerelles Wi-Fi — des équipements de marques courantes déployés par les hôtels — et modifient leurs entrées DNS pour que les requêtes vers les domaines Microsoft soient redirigées vers des serveurs sous leur contrôle. L'opération est particulièrement insidieuse car elle ne nécessite aucune interaction de phishing classique : la victime n'a pas besoin de cliquer sur un lien suspect. Il suffit qu'elle se connecte au Wi-Fi de l'hôtel et tente d'accéder à sa messagerie ou à ses applications Microsoft 365.

ReliaQuest a identifié au moins quatre domaines enregistrés par les opérateurs de la campagne pour héberger leurs fausses pages de connexion Microsoft : m365-owa.com, owa-ms365.com, ms365-device.com et ms365-live.com. Ces domaines reproduisent fidèlement l'interface Outlook Web App (OWA) de Microsoft 365, avec des certificats TLS valides pour éviter les alertes de sécurité du navigateur. Une victime vigilante qui examine la barre d'adresse peut noter une différence avec les domaines Microsoft légitimes, mais dans le contexte d'une connexion depuis un appareil mobile ou d'une session de travail rapide dans un hall d'hôtel, cette vigilance est rarement exercée.

La technique la plus sophistiquée documentée dans cette campagne est le détournement du flux de code appareil (device code authentication flow) d'OAuth 2.0. Plutôt que de simplement capturer les identifiants saisis sur la page de phishing, les attaquants initient une véritable session OAuth Microsoft côté serveur et redirigent la victime vers une invite légitime de Microsoft lui demandant d'approuver une connexion. La victime, voyant une interface Microsoft authentique, clique sur « Approuver » sans réaliser qu'elle vient d'autoriser la session de l'attaquant. Un token OAuth valide est alors émis pour le client de l'attaquant — un token qui bypass entièrement le MFA puisque l'authentification a été accomplie par la victime elle-même.

Les secteurs les plus touchés selon ReliaQuest sont les services financiers, les cabinets juridiques, les cabinets de conseil, les prestataires de santé, les acteurs du secteur énergétique et le retail. Ce ciblage n'est pas accidentel : ce sont précisément les profils professionnels qui séjournent fréquemment en hôtel pour des déplacements d'affaires et qui utilisent intensivement Microsoft 365. Un compte M365 compromis dans ces secteurs donne accès à des échanges confidentiels, des documents stratégiques, des informations clients sensibles et potentiellement à des accès SharePoint, Teams ou OneDrive contenant des données critiques.

La portée géographique de la campagne est notable. ReliaQuest a identifié des passerelles Wi-Fi compromises dans plusieurs grandes villes américaines ainsi que dans des établissements situés en Inde et en Arabie Saoudite. Cette dimension internationale suggère une infrastructure d'attaque organisée capable de cibler simultanément plusieurs régions du monde. Les chercheurs estiment que la campagne est active depuis au moins juin 2026, ce qui représente plusieurs semaines d'exploitation avant sa découverte et sa divulgation publique. Le volume total de comptes compromis n'a pas été dévoilé, mais la fenêtre temporelle laisse envisager une collecte significative de tokens d'accès valides.

Techniquement, le vecteur d'accès initial aux passerelles Wi-Fi hôtelières reste partiellement non documenté par ReliaQuest. Plusieurs hypothèses sont avancées : exploitation de mots de passe par défaut non modifiés sur les équipements réseau, utilisation de credentials d'administration volés lors de breaches antérieurs dans l'industrie hôtelière, ou exploitation de vulnérabilités connues dans les firmwares non patchés. La possibilité d'un accès physique dans certains cas est également mentionnée, le personnel hôtelier ayant accès direct aux équipements réseau. Quelle que soit la méthode, l'accès aux paramètres DNS d'une passerelle Wi-Fi d'hôtel ne nécessite généralement qu'un accès à l'interface d'administration web, souvent protégée par des credentials faibles ou par défaut.

Les chercheurs de ReliaQuest notent que les techniques employées dans cette campagne présentent des similitudes avec le mode opératoire du groupe russe APT28 (également connu sous les noms Fancy Bear, Forest Blizzard ou BlueDelta), notamment l'utilisation du détournement du flux de code appareil OAuth — une technique documentée dans des campagnes APT28 précédentes visant des organisations gouvernementales et de défense en Europe. Cependant, ReliaQuest s'abstient formellement d'attribuer la campagne à APT28 ou à tout autre groupe spécifique, faute de preuves d'attribution suffisantes. La réutilisation de TTP (techniques, tactiques et procédures) par plusieurs groupes distincts reste un phénomène courant.

Microsoft a été informé de la campagne. L'entreprise recommande à ses clients professionnels d'activer les politiques d'accès conditionnel qui évaluent la conformité des appareils et les signaux de risque d'identité Entra ID avant d'accorder un token d'accès. Les organisations déployant des solutions CASB (Cloud Access Security Broker) peuvent également détecter les tokens émis depuis des plages IP inattendues ou des localisations géographiques inhabituelles, et déclencher des alertes ou des révocations automatiques.

Pourquoi cette campagne illustre l'évolution des attaques sur l'identité

La campagne de détournement DNS des Wi-Fi hôteliers s'inscrit dans une tendance de fond de l'écosystème cybercriminel : le pivot vers les attaques sur l'identité plutôt que sur les endpoints. Avec la généralisation du MFA, compromettre un mot de passe seul ne suffit plus dans la majorité des environnements d'entreprise. Les attaquants ont donc développé des techniques sophistiquées pour obtenir des tokens d'authentification valides sans jamais avoir à casser le MFA — en manipulant la victime pour qu'elle accomplisse elle-même l'étape d'authentification. Le détournement du flux de code appareil OAuth est l'une des méthodes les plus efficaces pour cela, et sa démocratisation dans les campagnes cybercriminelles est préoccupante.

Cette campagne met également en lumière un vecteur d'attaque historiquement sous-estimé : l'infrastructure Wi-Fi des hôtels et lieux de conférence. Ces équipements sont souvent déployés et maintenus par des prestataires tiers avec des contrats de maintenance minimaux, des mises à jour de firmware irrégulières et des pratiques de sécurité insuffisantes. Les hôtels, dont le métier principal n'est pas la cybersécurité, ne disposent généralement pas des compétences internes pour auditer régulièrement leurs équipements réseau. Cette négligence structurelle crée des opportunités persistantes pour des attaquants qui savent que ces équipements représentent un maillon faible.

Pour les entreprises dont les collaborateurs sont en déplacement fréquent, l'impact potentiel est considérable. Un seul token OAuth Microsoft 365 valide donne accès à l'ensemble des services Microsoft cloud de l'utilisateur : Exchange Online, SharePoint, Teams, OneDrive, et selon les permissions de l'application, potentiellement à des APIs administratives. Dans un contexte de déplacement professionnel, les cibles les plus précieuses sont les dirigeants, les avocats d'affaires, les banquiers d'investissement et les consultants qui transportent des informations hautement confidentielles et se connectent à leurs services cloud depuis des environnements réseau non maîtrisés.

La dimension internationale de la campagne — États-Unis, Inde, Arabie Saoudite — est cohérente avec une opération de cyberespionnage économique à grande échelle plutôt qu'avec une campagne de cybercriminalité purement financière. Le profil des secteurs ciblés (finance, conseil, juridique, énergie) et la géographie des établissements visés (hôtels d'affaires dans des hub économiques mondiaux) renforcent l'hypothèse d'un acteur étatique ou proche d'un État cherchant à collecter du renseignement économique et stratégique, plutôt qu'à revendre des comptes compromis sur des marchés cybercriminels.

Ce qu'il faut retenir

• Évitez les réseaux Wi-Fi hôteliers pour accéder à Microsoft 365 en déplacement professionnel : utilisez un VPN d'entreprise ou la connectivité mobile 4G/5G pour les accès sensibles.
• Les politiques d'accès conditionnel Azure Entra ID évaluant la conformité de l'appareil peuvent limiter l'impact d'un token OAuth volé via cette technique.
• Sensibilisez vos équipes itinérantes : une invite Microsoft OAuth apparaissant sur un Wi-Fi hôtelier peut être un signe de compromission, même si la page affichée semble authentique.