Cyberattaque ciblant les comptes Microsoft 365 à travers les réseaux Wi-Fi des hôtels

Une vague d’attaques cybernétiques frappe les réseaux Wi-Fi des hôtels depuis plusieurs mois. Le groupe de hackers russes Midnight Blizzard cible surtout les utilisateurs Microsoft 365 avec des méthodes astucieuses. Cette campagne, baptisée CaptiveCrunch, exploite des failles dans les portails captifs pour soutirer des identifiants en trompant la vigilance.

Microsoft et ReliaQuest signalent une recrudescence inquiétante de ces attaques qui compromettent la sécurité des voyageurs d’affaires. Le mode opératoire est précis, exploitant des redirections DNS et des fausses pages de connexion pour subtiliser les données.

Comment les réseaux Wi-Fi d’hôtels deviennent un piège pour les comptes Microsoft 365

Les attaquants manipulent les paramètres des passerelles Wi-Fi utilisées par les hôtels. Ils modifient en douce les configurations DNS pour rerouter le trafic vers des pages piégées.

Ces fausses pages imitent de près l’interface de connexion Microsoft 365. Une fois piégés, les utilisateurs donnent leurs identifiants sans se douter de rien.

Une attaque sans phishing classique

Depuis juillet, la méthode a évolué pour éviter l’envoi de mails frauduleux. Les hackers exploitent les flux d’authentification Microsoft Entra ID avec un hameçonnage silencieux via des codes d’appareils.

C’est redoutable car cela permet de s’infiltrer sans lever de soupçon par email. Une compromission quasi invisible tant pour la victime que pour son entreprise.

Les malwares CornFlake et ChocoShell au cœur de la campagne CaptiveCrunch

Au-delà de la tromperie initiale, une fois engagés, les pirates poussent à télécharger de faux outils de mise à jour. Ces logiciels malveillants, nommés CornFlake et ChocoShell, infiltrent en profondeur.

CornFlake agit comme un cheval de Troie, accédant aux frappes clavier, caméra et micro. ChocoShell vole les jetons d’accès Azure AD et les cookies de session, garantissant un accès durable.

Attention aux fausses mises à jour via portails captifs

Les victimes reçoivent de fausses notifications pour corriger un navigateur ou un pilote. Ces invites sont le leurre pour installer le malware. Cette pratique “ClickFix” est très efficace.

Installer quoi que ce soit depuis un portail captive est une porte ouverte au piratage. Cette précaution simple est souvent négligée, avec de lourdes conséquences.

Que faire pour réduire les risques sur les réseaux Wi-Fi publics ?

Microsoft et ReliaQuest recommandent de remplacer le Wi-Fi public par les données cellulaires lorsque cela est possible. Le Wi-Fi d’hôtel est aujourd’hui un vecteur à haut risque et doit être abordé avec extrême prudence.

Il est crucial de ne jamais télécharger des outils via ces réseaux, ni de saisir ses informations d’identification sur des portails suspects. La vigilance reste la meilleure défense.

Une protection qui passe par l’éducation et la résilience technique

Les équipes IT doivent surveiller les anomalies sur les accès réseau et tester régulièrement les plans de continuité. Ignorer la menace, c’est laisser la porte ouverte à une panne de confiance ou pire, à un vol massif de données.

Dans un contexte où la mobilité professionnelle s’intensifie, penser à la sécurité avant la connexion est vital. La disponibilité des services ne s’impose pas par hasard, elle se construit méthodiquement.

Source: www.generation-nt.com