Dans ce qui semble être une campagne de vol d’identifiants parrainée par l’État, un groupe de pirates du réseau a ciblé les passerelles Wi-Fi des hôtels, des centres de conférence et d’autres lieux partagés pour détourner les comptes des voyageurs d’affaires.
Une fois que les acteurs malveillants contrôlent la passerelle Wi-Fi, ils redirigent discrètement les utilisateurs vers une infrastructure contrôlée par les attaquants pour voler les informations d’identification, selon un rapport de ReliaQuest, une société mondiale d’automatisation des opérations de sécurité et de réponse aux menaces.
Selon ReliaQuest, l’activité est en cours depuis au moins juin 2026.
Les appareils compromis étudiés par ReliaQuest étaient des appareils principalement utilisés dans les hôtels et autres organisations exécutant des services Wi-Fi captifs, explique le rapport rédigé par les chercheurs Alexander Capraro, Jalen Vaughn, Daxton Wirth, Austin Ritchie et Connor Short.
Les chercheurs ont déclaré, avec un « degré de confiance faible à moyen », que les attaquants ont probablement obtenu un accès initial via des interfaces de gestion exposées combinées à des informations d’identification administratives faibles ou réutilisées, bien qu’une visibilité limitée sur les appareils compromis les ait empêchés de confirmer cette évaluation.
Cette méthodologie serait cohérente avec les modèles de ciblage de passerelle et d’empoisonnement du DNS documentés dans un récent rapport sur une campagne liée à APT28 connue sous le nom de « FrostArmada », note le rapport.
FrostArmada, une campagne de cyberespionnage liée au groupe de menace russe Forest Blizzard, également connu sous le nom d’APT28 et Fancy Bear, a détourné les paramètres DNS sur des routeurs compromis pour rediriger le trafic d’authentification et voler les informations d’identification Microsoft et les jetons OAuth. Il a été perturbé en avril 2026 grâce à une opération conjointe associant les forces de l’ordre et des partenaires du secteur privé.
Le rapport explique qu’une fois que l’attaquant a compromis les périphériques de passerelle, il a modifié leurs configurations et utilisé l’empoisonnement DNS pour rediriger le trafic Web régulier, canalisant ainsi les connexions vers des domaines légitimes via une infrastructure contrôlée par l’attaquant.
Attaque furtive
« Les hôtels et les centres de conférence ne sont pas des cibles aléatoires », a observé James Edwards, directeur principal de l’ingénierie chez Keeper Security, une société de gestion de mots de passe et de stockage en ligne basée à Chicago.
« Ce sont des environnements dans lesquels les cadres supérieurs, les équipes juridiques, les professionnels de la finance et d’autres employés d’entreprise de grande valeur se connectent régulièrement au Wi-Fi partagé sans y réfléchir à deux fois », a-t-il déclaré à TechNewsWorld.
« Une seule passerelle compromise lors d’une grande conférence industrielle donne à un attaquant l’accès à des centaines, voire des milliers, d’appareils d’entreprise provenant de diverses organisations », a-t-il expliqué. « L’économie des infrastructures est extraordinaire. »
« Ce qui rend cette campagne particulièrement dangereuse, c’est qu’elle fonctionne entièrement à l’insu de l’utilisateur », a-t-il poursuivi. « Lorsqu’un attaquant possède la passerelle, il n’a pas besoin de toucher un seul point de terminaison, d’envoyer un seul e-mail de phishing ou d’installer un seul logiciel malveillant. »
« L’empoisonnement du DNS redirige le trafic en silence », a-t-il ajouté. « L’utilisateur navigue normalement, saisit normalement ses informations d’identification et n’a aucune raison de soupçonner que quelque chose ne va pas. »
Concernant la technique d’attaque
Ces attaques sont de plus en plus courantes, a noté Denis Calderone, directeur et directeur technique de Suzu Labs, un fournisseur de services de cybersécurité basés sur l’IA à Las Vegas.
« Il s’agit fondamentalement du même manuel que ce qu’APT28 a fait avec 18 000 routeurs domestiques lors de la campagne FrostArmada en avril », a-t-il déclaré à TechNewsWorld. « Dans ce cas, l’attaquant cible les passerelles Wi-Fi légitimes des hôtels. »
Un aspect particulièrement préoccupant de la campagne concerne l’abus d’authentification par code d’appareil, dans lequel l’utilisateur est redirigé vers ce qui semble être une invite d’autorisation Microsoft légitime.
« Si l’utilisateur l’approuve, il autorise en fait une session initiée par l’attaquant », a-t-il déclaré. « Microsoft émet un jeton OAuth valide au client de l’attaquant, et ce jeton est déjà conforme à la MFA. Aucune information d’identification volée. Aucun jeton intercepté. MFA complètement contournée. »
« L’authentification par code d’appareil a été conçue pour les appareils à entrées limitées comme les téléviseurs intelligents et les écrans de salle de conférence, mais elle est activée par défaut dans le service Entra ID de Microsoft, et de nombreuses entreprises ne l’ont jamais désactivée parce qu’elles ne savent pas qu’elle existe », a-t-il expliqué.
Il a recommandé de désactiver le service via l’accès conditionnel pour tous les utilisateurs, à l’exception de la poignée de comptes de service ou de groupes d’appareils qui en ont réellement besoin.
Une attaque tant attendue devient réalité
« Ce qui me surprend le plus, ce n’est pas la technique, c’est le calendrier », a observé Larry Pesce, vice-président des services chez Finite State, basé à Columbus, dans l’Ohio, qui automatise la conformité et l’analyse de la sécurité pour les fabricants d’appareils connectés.
« Les chercheurs en sécurité ont démontré et mis en garde contre cette classe d’attaques depuis près d’une décennie », a-t-il déclaré à TechNewsWorld. « Ce qui est nouveau ici, ce n’est pas la méthode. C’est que nous disposons enfin de preuves à grande échelle et dans la nature que de véritables acteurs de la menace la mettent en œuvre. »
« L’écart entre ‘nous savons que c’est possible’ et ‘nous pouvons prouver que cela se produit’ vient de se combler, et cela devrait inquiéter tous ceux qui voyagent pour le travail », a-t-il déclaré.
Il a ajouté qu’il peut être utile de comprendre les acteurs menaçants de la campagne.
« S’il s’agit d’APT28 ou quelque chose sur cette orbite, le changement intéressant est de savoir qui ils ont recherché », a-t-il noté. « Des groupes comme celui-ci ont toujours été chirurgicaux, redirigeant uniquement le trafic correspondant à des mots clés ou à des cibles spécifiques. Ce que les chercheurs décrivent ici est le contraire : une redirection non sélective qui récupérait toute personne connectée. »
« Ce qu’il faut retenir ici, ce n’est pas ‘je ne suis pas assez important pour être une cible' », a-t-il prévenu. « Sur un réseau partagé et compromis, l’importance est décidée après coup. Vous abandonnez d’abord les informations d’identification, et quelqu’un d’autre décide plus tard comment les monétiser ou les utiliser comme arme. »
« C’est exactement pourquoi l’hygiène est importante pour tout le monde, pas seulement pour les cadres et les postes évidents à haut risque », a-t-il ajouté. « La personne qui suppose qu’elle ne vaut pas la peine d’être ciblée est souvent la voie la plus simple. »
Changer la stratégie de ciblage
Seemant Sehgal, PDG et fondateur de BreachLock, une société de tests d’intrusion à New York, a soutenu que la campagne reposait moins sur des techniques sophistiquées que sur de faibles pratiques de sécurité au niveau des passerelles ciblées.
« Le point d’échec ici est que ces passerelles étaient accessibles avec des informations d’identification qui pourraient être compromises en premier lieu, et quelle que soit la surveillance qui existait sur elles, elle ne surveillait pas les changements de configuration », a-t-il déclaré à TechNewsWorld.
Edwards de Keeper Security a reconnu que les attaques basées sur le DNS ne sont pas nouvelles, mais a ajouté qu’elles nécessitaient historiquement d’accéder à l’infrastructure en amont ou de compromettre des appareils individuels.
« Ce qui a changé, c’est le modèle de ciblage », a-t-il expliqué. « Attaquer les passerelles réseau partagées dans des lieux à fort trafic transforme un point de compromis unique en un multiplicateur de force, où un routeur donne accès à des centaines d’appareils d’entreprise dans des dizaines d’organisations simultanément. »
Armer la confiance
« Cette expansion du travail à domicile et des réseaux de petites entreprises vers les environnements hôteliers dans lesquels les employés des entreprises évoluent chaque jour représente un changement significatif à la fois en ce qui concerne les personnes exposées et le peu d’avertissements qu’ils reçoivent », a-t-il déclaré.
« Ce que cette campagne révèle, plus que n’importe quelle technique spécifique, c’est à quel point les attaquants ont appris à transformer la confiance en arme », a-t-il soutenu.
« On fait confiance au réseau hôtelier parce que l’hôtel le fournit », a-t-il souligné. « L’invite de connexion de Microsoft est fiable car elle semble parfaitement correcte. L’autorisation OAuth est fiable car elle est techniquement légitime. »
« Aucune de ces hypothèses n’est valable dans un environnement où l’infrastructure elle-même a été compromise », a-t-il poursuivi. « La vraie leçon ici n’est pas qu’une nouvelle technique d’attaque a émergé, mais que le périmètre que les organisations pensaient opérer à l’intérieur n’existe plus dès qu’un employé se connecte à un réseau qu’il ne contrôle pas. »
« Les organisations qui sortent intactes de ce type de campagne sont celles qui ont déjà cessé d’accorder une confiance implicite aux infrastructures qui ne leur appartiennent pas », a-t-il ajouté. « Ce n’est pas un principe nouveau. Il s’agit simplement d’un principe du secteur hôtelier, et les entreprises dont les salariés y voyagent ne peuvent plus se permettre de différer. »
Selon ReliaQuest, les organisations peuvent réduire considérablement leur exposition en exigeant que les appareils d’entreprise utilisent des VPN à tunnel complet toujours actifs qui acheminent les requêtes DNS via une infrastructure d’entreprise fiable avant qu’elles n’atteignent les passerelles de l’hôtel ou du centre de conférence.
