Se connecter au Wi-Fi d’hôtel pourrait exposer certains voyageurs à une menace bien plus élaborée qu’un simple réseau mal sécurisé. Microsoft alerte sur CaptiveCrunch, une campagne attribuée à Storm-2945 qui détourne des portails captifs afin de diffuser des logiciels malveillants ou de voler des identifiants. Une fois un ordinateur compromis, les attaquants peuvent notamment enregistrer les frappes au clavier, accéder au microphone ou utiliser la webcam.
Microsoft occupe une place centrale dans la cybersécurité professionnelle avec ses solutions Defender, Entra et ses équipes de Threat Intelligence. Le groupe étoffe régulièrement ses outils de détection tout en documentant les nouvelles méthodes d’attaque visant Windows, Microsoft 365 et les infrastructures professionnelles. CaptiveCrunch illustre cette surveillance des menaces émergentes.
CaptiveCrunch s’attaque aux réseaux Wi-Fi utilisés par les voyageurs
Microsoft indique suivre CaptiveCrunch depuis le début du mois de mai 2026. La campagne vise des réseaux utilisant des portails captifs, ces pages intermédiaires qui apparaissent généralement après une connexion au Wi-Fi d’hôtel, dans un centre de conférences ou sur certains réseaux publics.
A relire : Les Hotspots Wi-Fi des hôtels à la merci de pirates russes.
Les utilisateurs nomades sont souvent confrontés à devoir utiliser les réseaux Wi-Fi de l’endroit où ils se trouvent. Pourtant ces hotspots Wi-Fi ne sont pas toujours sécurisés au mieux et les données…
Les chercheurs ont observé des manipulations du trafic DNS et HTTP permettant de rediriger les utilisateurs vers une infrastructure contrôlée par les attaquants. Microsoft précise avoir identifié des compromissions de réseaux dans plusieurs pays.
Le vecteur initial permettant de prendre le contrôle de ces infrastructures n’est toutefois pas encore définitivement établi. Microsoft estime que des similitudes entre plusieurs équipements touchés pourraient indiquer un problème dépassant la compromission isolée d’un seul établissement.
De faux portails Wi-Fi qui imitent des mises à jour légitimes
Le fonctionnement de CaptiveCrunch repose en grande partie sur l’ingénierie sociale. Lorsqu’un utilisateur tente d’accéder à Internet, une page apparemment normale peut lui demander d’effectuer une vérification ou d’installer une mise à jour.
Les pirates peuvent afficher une fausse mise à jour Windows, une analyse Windows Security, un installateur DirectX, un outil de diagnostic réseau ou encore une prétendue mise à jour du navigateur. L’objectif est de pousser la victime à télécharger ou exécuter elle-même le fichier malveillant.
C’est ce qui rend cette attaque particulièrement trompeuse : une demande d’intervention technique peut sembler crédible lorsqu’elle apparaît précisément au moment où le Wi-Fi d’hôtel refuse d’afficher une page Internet.
CornFlake peut surveiller le clavier, le microphone et la webcam
L’un des principaux outils identifiés par Microsoft est baptisé CornFlake. Il s’agit d’un cheval de Troie d’accès à distance, ou RAT, développé en Go et destiné aux systèmes Windows.
Une fois installé, CornFlake peut enregistrer les frappes au clavier, surveiller le presse-papiers, effectuer des captures d’écran et rechercher des documents présents sur l’ordinateur. Microsoft a également identifié des fonctions capables d’enregistrer le microphone et de capturer des images provenant de la webcam.
Le malware peut aussi récupérer des cookies de session et des mots de passe enregistrés dans certains navigateurs. Il surveille même l’arrivée de supports USB et permet aux opérateurs d’exécuter à distance des commandes sur la machine infectée.
Il ne suffit donc pas qu’un pirate soit connecté au même réseau : ces capacités nécessitent que l’appareil de la victime soit effectivement compromis.
Les comptes Microsoft 365 sont également dans le viseur
CaptiveCrunch ne repose pas uniquement sur l’installation d’un malware. Microsoft a également observé des campagnes de phishing visant les comptes professionnels et Microsoft 365.
Certaines redirections utilisent notamment le mécanisme légitime d’authentification par code d’appareil de Microsoft Entra ID. Les attaquants tentent alors de convaincre l’utilisateur de saisir un code fourni par leurs soins sur une véritable page Microsoft.
La victime peut ainsi valider sans le savoir une session contrôlée par l’attaquant. Cette technique peut donner accès à des ressources professionnelles sans nécessiter l’affichage d’une fausse page de connexion Microsoft classique.
Les smartphones Android pourraient aussi être concernés
Windows représente la cible la mieux documentée de la campagne, notamment à travers CornFlake et l’infostealer PowerShell ChocoShell.
Microsoft signale cependant des indices laissant penser qu’Android pourrait également être visé. Certaines pages malveillantes comportent des instructions invitant les utilisateurs Android à télécharger puis installer manuellement un fichier APK.
Sur un smartphone, une demande d’installation d’application apparaissant après la connexion à un Wi-Fi d’hôtel doit donc être considérée avec prudence. Un portail captif légitime n’a normalement aucune raison d’imposer l’installation d’un programme pour fournir un accès classique à Internet.
Pourquoi les voyageurs professionnels constituent une cible intéressante
Les hôtels, centres de conférences et autres lieux accueillant des professionnels offrent un contexte favorable à ce type de campagne. Les voyageurs y utilisent fréquemment un ordinateur d’entreprise pour consulter leurs e-mails, accéder à Microsoft 365 ou ouvrir des documents internes.
ReliaQuest, cité par Microsoft, estime que l’un des objectifs de la campagne est précisément d’accéder aux comptes de voyageurs professionnels. Microsoft rattache Storm-2945 à Midnight Blizzard, un acteur lié à la Russie et principalement associé à des opérations de cyberespionnage.
Les réseaux publics deviennent ainsi un point de passage potentiel pour atteindre des comptes d’entreprise qui seraient autrement mieux protégés.
Comment se protéger sur le Wi-Fi d’un hôtel
Microsoft recommande de considérer les réseaux d’hôtels, d’aéroports, de conférences et les autres réseaux invités comme non fiables par défaut.
Lorsque cela est possible, mieux vaut utiliser la connexion mobile de son smartphone, un hotspot personnel ou une autre connexion privée plutôt qu’un Wi-Fi d’hôtel public. Pour les usages professionnels sensibles, les entreprises peuvent également imposer des solutions de connexion gérées et des tunnels chiffrés.
Il faut surtout refuser toute proposition inattendue d’installation de navigateur, certificat, correctif de sécurité ou outil de diagnostic provenant directement d’un portail Wi-Fi.
Les mises à jour doivent être effectuées depuis Windows Update, les paramètres officiels du système ou le mécanisme intégré au logiciel concerné.
Microsoft recommande enfin les passkeys et une authentification multifacteur résistante au phishing. Pour les entreprises, le flux d’authentification par code d’appareil peut également être bloqué lorsqu’il n’est pas nécessaire.
Ce qu’il faut retenir
CaptiveCrunch détourne certains réseaux équipés de portails captifs afin de rediriger les utilisateurs vers des pages contrôlées par des attaquants.
La campagne peut conduire au vol d’identifiants ou à l’installation de logiciels malveillants. Sur Windows, CornFlake est notamment capable d’enregistrer les frappes au clavier, de récupérer des mots de passe et d’utiliser le microphone ou la webcam.
La première précaution consiste à éviter les installations et mises à jour proposées de manière inattendue après une connexion à un Wi-Fi d’hôtel.
Positionnement sur le marché
CaptiveCrunch ne correspond pas à un produit commercial mais à une évolution des attaques contre les réseaux publics. Elle montre que les portails captifs constituent désormais un vecteur potentiel permettant de combiner détournement de trafic, phishing et infection locale.
Face à cette menace, la connexion cellulaire, les hotspots privés, les passkeys, l’authentification multifacteur résistante au phishing et les politiques de sécurité gérées par l’entreprise deviennent particulièrement pertinentes pour les voyageurs professionnels.
FAQ : CaptiveCrunch et le Wi-Fi d’hôtel
Qu’est-ce que CaptiveCrunch ?
CaptiveCrunch est le nom donné par Microsoft à une campagne de cyberattaque manipulant notamment le trafic de réseaux utilisant des portails captifs. Elle est suivie depuis début mai 2026 et attribuée par Microsoft au groupe Storm-2945.
Le Wi-Fi de tous les hôtels est-il dangereux ?
Non. Microsoft ne affirme pas que tous les hôtels ou réseaux publics sont compromis. L’alerte porte sur une campagne observée sur plusieurs réseaux et rappelle qu’un réseau invité doit être traité comme une infrastructure potentiellement non fiable.
Les pirates peuvent-ils réellement activer la webcam ?
Oui, mais uniquement après compromission de l’appareil avec certains outils utilisés dans cette campagne. Microsoft indique que CornFlake possède des fonctions de capture vidéo via la webcam et d’enregistrement audio via le microphone.
Comment reconnaître une tentative CaptiveCrunch ?
Une demande soudaine d’installer une mise à jour Windows, un navigateur, un certificat ou un outil de diagnostic juste après la connexion à un réseau public constitue un signal d’alerte important.
Utiliser un VPN suffit-il ?
Un VPN peut protéger une partie du trafic, mais il ne rend pas légitime un fichier malveillant installé volontairement par l’utilisateur. Le principal réflexe reste de ne jamais exécuter les logiciels proposés par un portail Wi-Fi inattendu.
Quelle connexion utiliser en voyage ?
Microsoft recommande de privilégier lorsque c’est possible une connexion privée, notamment un hotspot mobile, une connexion cellulaire via eSIM ou une infrastructure professionnelle sécurisée.
Récapitulatif technique
- Campagne : CaptiveCrunch
- Activité observée : depuis début mai 2026
- Groupe suivi : Storm-2945
- Attribution : sous-groupe de Midnight Blizzard selon Microsoft
- Réseaux ciblés : hôtels, centres de conférences et réseaux avec portail captif
- Technique : manipulation DNS et HTTP, phishing AiTM et ClickFix
- Malware Windows principal : CornFlake
- Autre outil identifié : ChocoShell
- Données ciblées : mots de passe, cookies, jetons Microsoft 365, fichiers et identifiants Wi-Fi
- Surveillance possible : clavier, presse-papiers, captures d’écran, microphone et webcam
- Plateformes documentées : Windows, avec indices d’un ciblage Android
- Protection recommandée : hotspot privé, mises à jour officielles, passkeys, MFA résistante au phishing
En résumé
Microsoft alerte sur CaptiveCrunch, une campagne capable de détourner certains portails Wi-Fi publics pour voler des identifiants ou diffuser des malwares. Les voyageurs professionnels constituent une cible privilégiée. Une fois Windows infecté, les attaquants peuvent notamment récupérer des mots de passe, enregistrer le clavier et accéder au microphone ou à la webcam. La meilleure précaution reste d’éviter les installations proposées par un portail Wi-Fi public.
D’autres produits de la marque :
| Aperçu | Produit | Prix | |
Apple iPhone 16 (128 Go) – Noir
|
Boulanger |
849 € |  |
Amazon |
799 € | |
|
Fnac |
628,90 € | |
Retrouver tous les articles de Planet Sans fil sur Google News. Vous y trouverez notre actualité, nos tests en un seul clic.
Soyez le premier à laisser un commentaire commenter "Wi-Fi d’hôtel : Microsoft alerte sur CaptiveCrunch, une attaque capable de voler vos mots de passe."