Wi-Fi d'hôtel : la fausse mise à jour qui installe un mouchard russe

Vous arrivez à l'hôtel, épuisé. L'ordinateur s'ouvre, un clic sur le Wi-Fi de l'établissement, et une fenêtre s'affiche : « Mise à jour du navigateur requise ». Vous cliquez, et vous venez peut-être d'installer un mouchard piloté depuis Moscou.

C'est le scénario décrit par Microsoft dans une alerte publiée fin juillet 2026. Une campagne baptisée CaptiveCrunch détourne le Wi-Fi d'hôtels et de centres de conférences pour distribuer un logiciel malveillant de surveillance. La cible privilégiée : le voyageur d'affaires, ce cadre qui se connecte machinalement au réseau de son hôtel.

Précisons le périmètre tout de suite. On parle ici d'une attaque au niveau du réseau, pas d'un e-mail piégé. Le Wi-Fi lui-même, ou plus exactement l'équipement qui gère sa page de connexion, a été compromis. Ici, le danger est dans la connexion elle-même, celle que vous croyiez anodine.

Dans cet article :

• Comment une simple page de Wi-Fi devient une arme d'espionnage
• CornFlake et ChocoShell : les deux logiciels qui vident votre vie numérique
• Des routeurs de particuliers aux couloirs d'hôtels : la même méthode russe
• Pourquoi les pirates n'ont même plus besoin de votre mot de passe
• La stratégie Posthumain

Comment une simple page de Wi-Fi devient une arme d'espionnage

Quand vous rejoignez un réseau d'hôtel, une page de connexion s'ouvre pour vous faire accepter les conditions ou saisir votre numéro de chambre. Cette page s'appelle un portail captif (la fenêtre d'accueil qui filtre l'accès à Internet). C'est précisément cet équipement que les pirates ont pris en main.

Sur les réseaux étudiés par la société de cybersécurité ReliaQuest, la passerelle du portail captif servait aussi de serveur DNS (l'annuaire qui traduit un nom de site en adresse machine). En contrôlant cette passerelle, les attaquants pouvaient forger de fausses réponses DNS et rediriger le trafic vers leurs propres serveurs [1].

Le piège se referme sur un réflexe automatique de votre appareil. Tous les systèmes d'exploitation lancent, à la connexion, une petite vérification pour savoir s'ils ont bien accès à Internet. Les pirates détournent ce test et l'aiguillent vers une fausse mise à jour de navigateur ou de système.

La passerelle décide de ce que vous voyez, mais elle n'infecte pas la machine toute seule. Il faut encore que vous cliquiez. Certaines pages emploient la technique dite ClickFix, qui vous demande d'ouvrir un terminal (la fenêtre de commandes de Windows) et d'y coller une ligne fournie par l'attaquant [2].

Les pirates affichent ce qui paraît le plus crédible sur place : une mise à jour Windows, une page de vérification Google, un installateur DirectX ou un utilitaire d'optimisation du disque, tous factices. Microsoft a d'ailleurs relevé des indices que des appareils Android pourraient aussi être visés, via des pages invitant à installer un fichier APK.

CornFlake et ChocoShell : les deux logiciels qui vident votre vie numérique

Le logiciel principal s'appelle CornFlake. C'est un cheval de Troie d'accès à distance (un RAT, pour remote access trojan, qui ouvre une porte permanente sur votre machine), écrit dans le langage Go. Il capture les images de la webcam, l'audio du microphone et les frappes au clavier [3].

Son installation est un théâtre. Une fausse fenêtre de progression retient votre attention pendant qu'il se copie discrètement dans un dossier système, puis s'enregistre comme un service au nom rassurant de « Cloud Sync Service ». Rien à l'écran ne trahit l'intrusion.

La liste de ses capacités donne le vertige : enregistreur de frappe, surveillance du presse-papiers, captures d'écran, activation du micro et de la caméra, vol des identifiants stockés dans le navigateur, extraction de fichiers et prise de contrôle à distance. En clair, une panoplie complète de surveillance logée dans votre ordinateur.

Un second outil complète l'attaque : ChocoShell, un voleur d'informations écrit en PowerShell qui s'exécute entièrement en mémoire, sans jamais toucher le disque dur. Sa mission : aspirer en masse cookies de session, mots de passe enregistrés, jetons d'authentification Microsoft 365 et mots de passe Wi-Fi [4].

La distinction entre les deux compte. CornFlake installe un point d'ancrage durable sur la machine, tandis que ChocoShell se concentre sur le butin le plus précieux : les jetons qui ouvrent vos environnements cloud d'entreprise. Ensemble, ils transforment une nuit d'hôtel en fuite de données pour tout un service.

Des routeurs de particuliers aux couloirs d'hôtels : la même méthode russe

Microsoft attribue CaptiveCrunch à un groupe qu'elle nomme Storm-2945, présenté comme une émanation opérationnelle de Midnight Blizzard, aussi connu sous les noms d'APT29 et Cozy Bear. Les gouvernements américain et britannique rattachent ce groupe au service de renseignement extérieur russe, le SVR [3].

Cette méthode n'est pas née dans un hôtel. Quelques mois plus tôt, une campagne cousine baptisée FrostArmada appliquait la même recette du détournement de DNS, mais sur des routeurs de particuliers et de petites entreprises. Le FBI l'a démantelée le 7 avril 2026.

À son pic, en décembre 2025, FrostArmada avait compromis environ 18 000 routeurs dans 120 pays, touchant plus de 200 organisations et près de 5 000 appareils grand public [5]. Le chiffre donne la mesure de ce qu'un détournement de DNS peut atteindre quand il passe à l'échelle industrielle.

Les chercheurs de ReliaQuest ont noté que le savoir-faire ressemblait à celui d'APT28, l'unité du renseignement militaire russe surnommée Fancy Bear. Ils se sont toutefois gardés d'une attribution ferme : le rapprochement repose sur des techniques partagées davantage que sur une infrastructure commune. Cette prudence est un gage de sérieux.

Détail glaçant sur les méthodes : Microsoft indique que depuis février 2026, Storm-2945 mène des opérations augmentées par l'intelligence artificielle, et a même remercié Anthropic et OpenAI pour leur aide durant l'enquête [6]. Le renseignement d'État industrialise ses campagnes avec les mêmes outils que tout le monde.

Pourquoi les pirates n'ont même plus besoin de votre mot de passe

Le volet le plus retors touche l'authentification elle-même. Depuis le 16 juillet 2026, certaines pages piégées redirigent la victime vers la vraie page de connexion Microsoft et lui demandent d'y entrer un code [1].

C'est l'abus du « flux par code d'appareil » (une procédure prévue pour connecter un objet sans clavier, comme une télévision). L'attaquant lance la demande de connexion, vous présente le code, vous le saisissez de bonne foi sur le site officiel. Résultat : vous validez la session de l'attaquant, pas la vôtre.

Le piège est diabolique parce qu'il satisfait la double authentification. Vous venez de compléter votre facteur de sécurité, donc la session volée est considérée comme légitime. L'attaquant obtient un accès valide à votre compte Microsoft 365 sans jamais connaître votre mot de passe.

Cette évolution rejoint une tendance de fond que Posthumain documente depuis des mois : la cybercriminalité n'a plus besoin d'exploits techniques spectaculaires. Comme dans cette attaque menée par une IA contre un ministère, il suffit souvent d'exploiter un geste humain de confiance.

Une limite honnête, enfin. Les rapports décrivent des redirections et des livraisons de logiciels malveillants actives, mais ne quantifient ni leur portée ni leur efficacité [2]. On ignore combien de redirections ont réellement débouché sur une machine infectée. L'alerte est sérieuse, l'ampleur exacte reste inconnue.

La stratégie Posthumain

La bonne nouvelle, c'est que cette attaque a un talon d'Achille : elle exige toujours un geste de votre part. La passerelle vous pousse un piège, mais elle ne peut pas cliquer à votre place. Toute la défense tient dans cette fenêtre de décision.

Le réflexe qui coûte zéro euro

Microsoft a durci sa consigne : les organisations doivent désormais partir du principe que les réseaux publics et hôteliers ne sont pas dignes de confiance. Le mot d'ordre a changé de nature : considérer ce Wi-Fi comme hostile par défaut.

La règle la plus simple, et la plus efficace, tient en une phrase. N'installez jamais une mise à jour de logiciel ou de navigateur proposée par une page de connexion Wi-Fi. Les vraies mises à jour ne passent jamais par le portail d'un hôtel. Aucune exception ne mérite le risque.

Si vous voyagez pour le travail

C'est vous la cible prioritaire de CaptiveCrunch, et vos identifiants Microsoft 365 sont le vrai trésor. Le problème, c'est que la plupart des voyageurs connaissent le danger sans jamais changer leurs habitudes. Deux tiers des utilisateurs se disent inquiets du Wi-Fi public, mais près d'un sur quatre s'y connecte sans la moindre protection [7].

Alors voici la question qui vous concerne directement : quand vous devez absolument travailler depuis une chambre d'hôtel à l'autre bout du monde, quel est le seul réflexe qui neutralise entièrement cette attaque, avant même qu'une fausse fenêtre ne s'affiche ? La réponse tient en quelques réglages précis, et presque personne ne les active.