WiFi d’hôtel : le réseau qui vous sourit… et vous vole
Vous venez d’arriver à l’hôtel, vous posez vos valises et vous cherchez le WiFi pour envoyer quelques photos à vos proches. Geste banal, presque automatique. Mais selon une récente alerte de chercheurs en sécurité, ce réseau affiché comme « officiel » pourrait très bien être un piège soigneusement tendu.
Comment un WiFi d’hôtel peut-il devenir dangereux ?
Imaginez que quelqu’un place une fausse boîte aux lettres devant chez vous, identique à la vraie. Vous y glissez votre courrier sans vous méfier… et lui récupère tout. C’est exactement ce qui se passe avec les attaques signalées : des cybercriminels parviennent à pirater un réseau WiFi d’hôtel pourtant légitime, ou en créent un qui lui ressemble trait pour trait.
Une fois connecté, vous êtes redirigé vers une fausse page — une imitation convaincante du portail de connexion de l’hôtel, ou même de votre banque ou messagerie. Vous saisissez votre identifiant et votre mot de passe. La page semble fonctionner normalement. Mais vos informations viennent d’être copiées, silencieusement, sans que rien ne cloche en apparence.
Ce type d’attaque s’appelle une attaque de type « Man-in-the-Middle » (littéralement « l’homme du milieu ») : un intrus s’intercale discrètement entre vous et Internet, comme un faux interprète qui retranscrit — et modifie — votre conversation à votre insu. Les hôtels, gares, aéroports et cafés sont des terrains de choix, car beaucoup de personnes s’y connectent sans se poser de questions.
La bonne nouvelle ? Des solutions existent, simples à mettre en place, et efficaces même pour ceux qui ne se considèrent pas « geeks ».
Zone technique — pour les curieux et les passionnés
🤓 Pour aller plus loin : L’attaque Evil Twin, ou quand le WiFi joue à Matrix
Les puristes de la sécurité réseau reconnaîtront ici la technique dite de l' »Evil Twin » — le jumeau maléfique. Le principe existe depuis les débuts du WiFi grand public, mais il n’a jamais été aussi simple à exécuter. Des outils comme Aircrack-ng ou des mini-ordinateurs type Raspberry Pi équipés de cartes réseau spécifiques permettent à n’importe quel script kiddie un peu motivé de monter un hotspot piégé en moins de dix minutes. On est loin de l’époque où il fallait un labo entier pour sniffer du trafic réseau.
L’attaque observée ici va un cran plus loin : les criminels ne créent pas un faux réseau de zéro, ils compromettent le vrai. En exploitant des failles dans les routeurs hôteliers (souvent mal mis à jour, tournant sur des firmwares vieillissants), ils prennent le contrôle du point d’accès légal. C’est ce qu’on appelle un « rogue AP » sous contrôle d’un attaquant : le SSID est authentique, le signal vient bien de l’équipement de l’hôtel, mais le trafic est détourné via une technique de DNS spoofing ou d’injection ARP.
Le grand méchant loup des WiFi publics, c’est l’absence de chiffrement de bout en bout au niveau réseau. HTTPS protège les échanges avec un site spécifique, mais ça ne suffit pas si la page elle-même est falsifiée avant même d’atteindre votre navigateur. C’est pour ça qu’un VPN — un tunnel chiffré entre votre appareil et un serveur de confiance — reste l’arme anti-Evil-Twin la plus efficace. Think of it as voyager dans un sous-marin plutôt qu’à la surface.
Petit easter egg historique pour les nostalgiques : les premières démonstrations publiques d’attaques WiFi de masse remontent à la DEF CON de 2008, avec le célèbre « Wall of Sheep », un écran géant affichant en direct les identifiants interceptés des participants imprudents. La leçon n’a visiblement pas suffi à tout le monde.
Ce que vous pouvez faire concrètement 💡
– Utilisez un VPN : C’est la protection la plus robuste. Un VPN chiffre toutes vos communications, comme mettre votre courrier dans une enveloppe scellée et inviolable avant de le poster. Des applications comme ProtonVPN ou Mullvad sont fiables et abordables.
– Vérifiez l’adresse des pages de connexion : Avant de taper votre mot de passe, regardez bien la barre d’adresse de votre navigateur. Une fausse page aura souvent une URL bizarre ou sans le petit cadenas 🔒 HTTPS.
– Évitez les opérations sensibles sur WiFi public : Consultations bancaires, achats en ligne, connexion à vos e-mails principaux — attendez d’être sur un réseau de confiance ou utilisez les données mobiles de votre téléphone.
– Demandez confirmation à la réception : Si vous êtes à l’hôtel, demandez le nom exact du réseau WiFi officiel à un employé. Un pirate ne peut pas vous donner cette information en amont.
– Activez l’authentification à deux facteurs (2FA) : Même si vos identifiants sont volés, cette protection exige un code supplémentaire (envoyé par SMS ou via une application) pour valider la connexion. Une serrure supplémentaire sur la porte.
Voyagez léger, mais protégé
Le WiFi gratuit reste une commodité précieuse — inutile de s’en priver, il suffit de ne pas s’y connecter les yeux fermés. Quelques réflexes simples suffisent à rendre la tâche beaucoup plus difficile aux personnes mal intentionnées.
Et vous, avez-vous déjà eu un doute sur un réseau WiFi en voyage, ou une astuce de sécurité qui vous a sauvé la mise ?
Source : Journal du Geek
