Un café, un hall d’hôtel, un aéroport : il suffit d’un Wi-Fi public piégé pour qu’un attaquant détourne le DNS du réseau et redirige vos collaborateurs vers de fausses pages de connexion Microsoft 365. La campagne révélée cette semaine, qui pirate le DNS des réseaux Wi-Fi d’hôtels pour voler des comptes Microsoft 365, illustre une menace concrète pour les PME et ETI dont les équipes travaillent en déplacement. Ce tutoriel détaille, étape par étape, comment protéger le Wi-Fi public et vos identités cloud.
Comment le détournement DNS sur Wi-Fi public vole vos comptes Microsoft 365
Le principe est simple et redoutable. En contrôlant le serveur DNS distribué par le point d’accès, l’attaquant répond à la requête login.microsoftonline.com avec l’adresse IP de son propre serveur. L’utilisateur voit une page de connexion identique à l’originale, saisit ses identifiants, et parfois même son code d’authentification multifacteur : tout est capté en temps réel.
Sur un Wi-Fi public, rien n’alerte la victime. Le certificat TLS peut être valide (l’attaquant possède son propre domaine), l’URL semble correcte si le proxy est bien configuré, et le vol de session permet de contourner le MFA grâce au relais des cookies d’authentification. Cette technique s’inscrit dans la lignée des attaques par identité, désormais première porte d’entrée des ransomwares.
Pourquoi les PME-ETI sont particulièrement exposées
- Mobilité : commerciaux, dirigeants et consultants se connectent depuis des réseaux non maîtrisés.
- Absence de VPN systématique : beaucoup d’équipes se connectent en clair au Wi-Fi public.
- MFA par SMS ou notification simple : vulnérable au vol de session et au MFA fatigue.
- Peu de segmentation : un seul compte Microsoft 365 compromis ouvre l’accès à toute la messagerie et au SharePoint de l’entreprise.
Tutoriel : sécuriser le Wi-Fi public en 6 étapes
1. Imposer un VPN ou un tunnel chiffré
La contre-mesure la plus efficace reste le VPN d’entreprise activé automatiquement dès qu’un réseau non fiable est détecté. Le tunnel chiffre l’ensemble du trafic et utilise vos propres résolveurs DNS, neutralisant le détournement du Wi-Fi public. Configurez le client VPN en mode always-on et bloquez tout trafic hors tunnel (kill switch).
2. Chiffrer le DNS avec DoH ou DoT
Activez DNS-over-HTTPS (DoH) ou DNS-over-TLS (DoT) sur les postes et navigateurs. Les requêtes DNS sont alors chiffrées vers un résolveur de confiance (par exemple Cloudflare ou Quad9), rendant inopérante la réponse falsifiée du point d’accès. Sous Windows, forcez le DoH via GPO ; sur les navigateurs, verrouillez le résolveur sécurisé.
3. Déployer un MFA résistant au phishing
Remplacez les codes SMS et les notifications simples par des méthodes résistantes au phishing : clés FIDO2, Windows Hello for Business ou passkeys. Ces mécanismes lient l’authentification au domaine légitime : même sur un faux portail servi via Wi-Fi public, le vol de session échoue car la clé refuse de signer pour un domaine pirate.
4. Verrouiller l’accès avec les stratégies d’accès conditionnel
Dans Microsoft Entra ID, créez des règles d’accès conditionnel :
- Exiger un appareil conforme ou joint à Entra pour accéder à Microsoft 365.
- Bloquer les protocoles d’authentification hérités (POP, IMAP, SMTP basique).
- Appliquer une fréquence de réauthentification et lier la session à l’appareil.
Ces stratégies complètent le blocage du device code phishing Microsoft 365, autre vecteur de vol d’identité en pleine croissance.
5. Sensibiliser les équipes nomades
Aucune technologie ne remplace la vigilance. Formez vos collaborateurs à ne jamais saisir d’identifiants Microsoft 365 après une redirection inattendue, à vérifier l’URL et le cadenas, et à privilégier le partage de connexion mobile (4G/5G) plutôt qu’un Wi-Fi public inconnu pour les tâches sensibles.
6. Détecter les connexions anormales
Activez la journalisation des connexions Entra ID et surveillez les impossible travel, les nouvelles adresses IP et les échecs MFA en rafale. Un SIEM ou une solution de détection managée corrèle ces signaux et déclenche une révocation de session avant que l’attaquant n’exploite le compte volé.
Checklist de durcissement du Wi-Fi public
- VPN always-on avec kill switch sur tous les postes mobiles.
- DoH/DoT forcé vers un résolveur de confiance.
- MFA FIDO2 ou passkeys, suppression du SMS.
- Accès conditionnel Entra ID exigeant un appareil conforme.
- Blocage de l’authentification héritée.
- Supervision des connexions et révocation automatique.
En combinant chiffrement du transport, chiffrement DNS et identité résistante au phishing, le Wi-Fi public cesse d’être un point aveugle. Pour les PME-ETI, ces mesures transforment une menace opportuniste en risque maîtrisé — sans freiner la mobilité des équipes.