En prenant le contrôle du DNS d’un réseau public, des attaquants ont pu rediriger leurs victimes vers de faux portails MS365 et dérober des données sensibles. Une attaque difficile à repérer, qui peut même contourner la double authentification.
Depuis au moins juin 2026, des réseaux Wi-Fi d’hôtels et de centres de conférences ont été compromis dans plusieurs villes des États-Unis, mais aussi en Inde et en Arabie saoudite. C’est ce qu’a découvert ReliaQuest en enquêtant sur une campagne ciblant les salariés en déplacement. Une fois connectées au hotspot, les victimes peuvent être redirigées vers de fausses pages Microsoft 365 conçues pour voler leurs identifiants ou prendre le contrôle de leurs comptes, sans avoir cliqué sur le moindre lien de phishing. Plusieurs organisations des secteurs de la finance, de la santé, de l’énergie ou du droit auraient déjà été exposées.
Un DNS trafiqué pour piéger les voyageurs
Dans le détail, l’attaque repose sur la compromission des passerelles qui distribuent l’accès Wi-Fi, suivant un mode opératoire rappelant FrostArmada, précédente campagne de cyberespionnage attribuée au groupe APT28, lié au renseignement militaire russe et également connu sous les noms de Fancy Bear et Forest Blizzard.
Pour en prendre le contrôle, les pirates auraient pu profiter d’interfaces d’administration accessibles depuis Internet, d’identifiants trop faibles ou réutilisés, voire de vulnérabilités encore inconnues. ReliaQuest n’a toutefois pas pu déterminer précisément comment ils étaient parvenus à s’y introduire.
Une fois aux commandes de la passerelle, les attaquants peuvent manipuler le DNS, le système chargé d’associer l’adresse saisie dans le navigateur au serveur correspondant, pour rediriger les demandes d’accès aux services Microsoft vers leur propre infrastructure et lui présenter une copie du portail officiel.
Plusieurs domaines conçus pour imiter Microsoft 365 ont ainsi été recensés, parmi lesquels m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com et ms365-live[.]com. La victime, qui pense toujours suivre un parcours de connexion normal, est alors invitée à saisir ses identifiants ou à approuver une demande d’authentification.
Cette seconde technique permet de contourner la double authentification sans avoir à la désactiver. Le pirate initie lui-même une connexion à l’aide du flux d’authentification par code d’appareil, puis incite la victime à la valider. En pensant autoriser sa propre session, elle accorde en réalité un jeton OAuth au client contrôlé par l’attaquant, qui peut alors accéder au compte Microsoft 365, consulter les mails et les échanges internes, ou récupérer les documents professionnels stockés dans OneDrive et SharePoint.
Un VPN, un DNS chiffré et quelques réflexes pour éviter le piège
La protection la plus efficace consiste à utiliser un VPN configuré en tunnel complet, de façon à faire passer tout le trafic de l’appareil par la connexion chiffrée, y compris les requêtes DNS. Idéalement, il faut aussi activer la connexion automatique au VPN sur les réseaux Wi-Fi inconnus. La passerelle de l’hôtel ne peut alors plus voir quels noms de domaine l’appareil cherche à joindre, ni falsifier les réponses pour le rediriger vers une autre adresse.
À défaut de VPN, il est possible de protéger les requêtes DNS avec DoH ou DoT. Le chiffrement doit toutefois être configuré en mode strict, sans retour automatique au DNS classique. Remplacer simplement le serveur DNS par celui de Google ou de Cloudflare ne suffit pas si les requêtes continuent de circuler en clair.
Il faut également prendre l’habitude de contrôler l’URL affichée dans la barre d’adresse avant de saisir ses identifiants sur un service en ligne, mais aussi de vérifier qu’une demande d’authentification par code d’appareil correspond bien à une procédure que l’on vient soi-même de lancer, ce qui n’était pas le cas ici, les pirates ayant initié la connexion depuis un appareil qu’ils contrôlaient. Dans le doute, il faut fermer la page, couper le Wi-Fi et utiliser un partage de connexion mobile avant de se reconnecter directement au service.
Du côté des entreprises, ReliaQuest recommande enfin de bloquer le flux d’authentification par code d’appareil lorsqu’il n’est pas nécessaire, puis d’examiner les journaux Microsoft Entra à la recherche de connexions inhabituelles ou de nouvelles autorisations OAuth suspectes.
