Microsoft a publié fin juillet 2026 un rapport d’enquête établissant qu’un groupe lié au renseignement extérieur russe, le SVR, exploitait les réseaux wifi à portail captif d’hôtels et de centres de conférence dans plusieurs pays pour voler des données et espionner leurs occupants. L’éditeur identifie précisément le responsable : Storm-2945, une émanation de Midnight Blizzard, plus connu sous les noms d’APT29, Cozy Bear, The Dukes ou Yttrium.
Cette identification s’appuie sur les recherches de l’entreprise de cybersécurité ReliaQuest, qui avait donné l’alerte le 23 juillet sur cette cyberattaque russe visant les passerelles wifi d’hôtels et de centres de conférence, en particulier aux États-Unis et à l’international.
L’opération a démarré dès février 2026, amplifiée par l’usage de l’intelligence artificielle, explique BFMTV. Elle a changé d’échelle début mai, permettant aux attaquants d’intercepter des données et d’étendre leur accès aux systèmes visés. L’origine exacte de la compromission initiale reste, à ce stade, inconnue.
Le rapport est sans détour : Microsoft y indique qu’à ce jour, l’entreprise a constaté une violation à grande échelle des réseaux wifi au sein d’établissements du secteur de l’hôtellerie et d’autres réseaux équipés de portails captifs dans plusieurs pays.
Parmi les cibles figurent des établissements hôteliers célèbres aux États-Unis, dont de grandes institutions dotées de centres de conférence, ainsi que des chaînes hôtelières en Inde et en Arabie saoudite. Les ordinateurs Windows sont visés en priorité, mais Microsoft a aussi détecté des tentatives similaires contre des smartphones Android. L’objectif recherché, selon ReliaQuest, est d’accéder aux comptes de voyageurs d’affaires.
Un faux code de connexion Microsoft pour voler les identifiants
Les pirates poussent d’abord les utilisateurs à installer de fausses applications mobiles infectées. La technique la plus caractéristique repose toutefois sur le device code phishing, intégré aux portails captifs eux-mêmes, ces pages de connexion qui s’affichent automatiquement lors de la connexion à un wifi public.
Concrètement, la victime est redirigée vers une fausse page imitant celle de Microsoft. On lui demande d’entrer, sur le véritable site de l’éditeur, un code fourni par les pirates. Convaincue de se connecter à son propre compte, elle valide en réalité l’accès des attaquants, qui prennent alors le contrôle de sa session.
Les équipes de Microsoft Threat Intelligence notent que cette technique en elle-même n’a rien, mais que son intégration au portail captif et à la manipulation du trafic « pourrait accroître la probabilité que les utilisateurs perçoivent la demande d’authentification comme légitime ».
Les passerelles wifi compromises redirigent aussi les visiteurs vers des domaines usurpés imitant les services Microsoft, ou diffusent des logiciels malveillants déguisés en mises à jour de navigateur ou de système. Un piège baptisé ClickFix imite une page CAPTCHA ou une procédure de mise à jour pour faire exécuter des instructions qui téléchargent en réalité un programme malveillant.
Une autre variante, Cornflake, se présente comme une mise à jour Windows ou une analyse de Windows Security : une fausse barre de progression détourne l’attention pendant qu’un fichier binaire s’installe durablement sur la machine, capable de collecter des mots de passe, voler des fichiers et surveiller l’ordinateur à distance.
Microsoft et ReliaQuest divergent sur l’identité du groupe
Les deux entreprises ne s’accordent pas totalement sur l’attribution. ReliaQuest soupçonne le groupe APT28, alias Fancy Bear, également lié à l’État russe, et avait relevé des similitudes entre cette campagne et FrostArmada, une opération d’espionnage déjà rattachée à ce même groupe.
Microsoft, de son côté, pointe plutôt APT29, alias Cozy Bear, réputé être l’un des services de cyberespionnage les plus actifs et connu pour avoir visé le Parti démocrate américain ainsi que des gouvernements néerlandais et norvégien.
ReliaQuest n’a toutefois pas établi d’attribution formelle entre les deux opérations. Les deux groupes restent en tout cas rattachés au Kremlin, et Midnight Blizzard cible plus largement des organisations gouvernementales, diplomatiques, des ONG et des fournisseurs de services informatiques aux États-Unis et en Europe, pour le compte de la politique étrangère russe.
Microsoft recommande d’éviter les réseaux wifi mis à disposition par les hôtels, de privilégier les données mobiles et de ne jamais télécharger de mise à jour, de certificat ou d’utilitaire de sécurité proposé via un portail captif. L’usage d’un VPN empêche une passerelle compromise de rediriger le trafic vers des domaines malveillants.
