Wi-Fi d’hôtel piraté : comment protéger un voyage professionnel

Un portail Wi-Fi d’hôtel peut-il afficher une fausse mise à jour Windows ou un faux écran de connexion Microsoft ? Oui. Le 31 juillet 2026, Microsoft a documenté une campagne appelée CaptiveCrunch, active depuis plusieurs mois sur des réseaux liés à l’hôtellerie et à des lieux partagés. Les attaquants manipulent le trafic de certains portails captifs afin de rediriger des voyageurs vers des pages trompeuses, voler des accès professionnels ou leur faire installer un logiciel malveillant.

Le risque ne signifie pas que chaque Wi-Fi d’hôtel est compromis. Il change néanmoins une règle simple : un portail de connexion ne doit jamais vous demander d’installer un correctif, un certificat, un outil de diagnostic ou une prétendue mise à jour de navigateur. Pour un indépendant, une TPE ou un salarié en déplacement, voici comment travailler sans transformer une connexion pratique en incident de sécurité.

À retenir : pour consulter une messagerie professionnelle, un CRM, un espace bancaire ou des documents clients, le partage de connexion mobile est préférable au Wi-Fi invité. Si le portail réclame un téléchargement ou une commande à copier dans Windows, déconnectez-vous immédiatement.

Ce que Microsoft a réellement observé sur les Wi-Fi d’hôtels

Selon Microsoft Threat Intelligence, la campagne CaptiveCrunch cible de manière étendue mais sélective des réseaux desservis par des portails captifs : ces pages qui s’ouvrent avant l’accès à Internet dans un hôtel, un centre de conférences, un aéroport ou un autre lieu recevant du public. L’enquête sur la compromission initiale de ces infrastructures est toujours en cours. Il serait donc inexact d’affirmer que tous les hôtels utilisent un équipement vulnérable ou que chaque voyageur constitue une cible.

Le scénario observé mérite toutefois l’attention des professionnels. Une fois le trafic manipulé, la victime peut voir apparaître :

• un faux écran de mise à jour Windows, de navigateur ou de composant système ;
• un prétendu outil de réparation réseau ou contrôle de sécurité ;
• une page imitant Microsoft 365 et demandant une authentification ;
• une procédure inhabituelle invitant à ouvrir le Terminal, PowerShell ou une boîte de dialogue Windows ;
• sur Android, une invitation à télécharger manuellement une application au format APK.

Les programmes décrits par Microsoft peuvent ensuite collecter des frappes au clavier, des fichiers, des mots de passe enregistrés, des cookies de session et des jetons Microsoft 365. Une autre variante abuse du code d’appareil OAuth : la personne saisit un code sur une page Microsoft légitime, mais autorise en réalité la session initiée par l’attaquant. L’adresse correcte du site ne suffit donc pas toujours à valider la demande ; il faut aussi comprendre pourquoi cette authentification apparaît.

Ce que cette alerte ne dit pas

Le simple fait d’ouvrir un Wi-Fi public ne déclenche pas automatiquement l’installation du logiciel décrit. Dans les scénarios présentés, l’attaque cherche à faire agir l’utilisateur : télécharger un fichier, exécuter une instruction ou valider une connexion inattendue. Cette nuance est importante pour éviter la panique et concentrer la prévention sur les décisions qui comptent.

Faux portail Wi-Fi : cinq signaux qui doivent faire fermer la page

Un portail légitime peut demander un numéro de chambre, un nom, une adresse e-mail, un code remis à l’accueil ou l’acceptation de conditions d’utilisation. Il n’a pas besoin de réparer Windows. Fermez la page et coupez le Wi-Fi si vous rencontrez l’un de ces signaux.

1. Un téléchargement est présenté comme obligatoire. Une connexion Internet ne nécessite pas un fichier EXE, MSI, ZIP, certificat ou APK fourni par une page web.
2. La page vous demande de copier une commande. Ne collez jamais de texte dans PowerShell, le Terminal Windows, Exécuter ou l’invite de commandes à la demande d’un site.
3. Une mise à jour apparaît juste après la connexion. Windows, macOS, Android, les navigateurs et les antivirus se mettent à jour depuis leurs paramètres ou leur application officielle, pas depuis le portail d’un hôtel.
4. Une connexion Microsoft 365 surgit sans action de votre part. Refusez toute demande de code d’appareil ou d’autorisation qui ne correspond pas à une procédure lancée volontairement.
5. Le nom du réseau est presque, mais pas exactement, celui annoncé. Vérifiez le SSID et la méthode de connexion auprès de l’accueil. Un nom rassurant ou la présence d’un cadenas ne prouvent pas que le réseau appartient à l’établissement.

L’ANSSI recommande plus largement d’éviter les réseaux Wi-Fi publics ou inconnus pour les opérations sensibles et de préférer, lorsque c’est possible, le partage de connexion mobile. La CISA conseille également de confirmer le nom exact du réseau et la procédure auprès du personnel du lieu.

Checklist de sécurité avant et pendant un voyage professionnel

Avant le départ

• Installez les mises à jour du système, du navigateur et des logiciels avant de quitter un réseau de confiance.
• Sauvegardez les documents importants et vérifiez qu’au moins un fichier peut être restauré. Pour les données d’entreprise, une sauvegarde 3-2-1 limite les conséquences d’une compromission ou d’un vol.
• Activez l’authentification multifacteur, idéalement avec une méthode résistante à l’hameçonnage comme une clé de sécurité ou une passkey lorsque le service le permet.
• Chiffrez le disque du portable et activez le verrouillage automatique de l’écran.
• Vérifiez que l’antivirus et le pare-feu sont actifs. Sur Windows, ne désactivez pas Microsoft Defender pour « faire fonctionner » un portail.
• Préparez un moyen de connexion privé : forfait mobile suffisant, eSIM de voyage ou routeur géré par l’entreprise.

Au moment de se connecter

Un VPN professionnel chiffre le trafic entre l’appareil et le point de sortie du VPN, mais il ne rend pas légitime un faux portail et n’annule pas une commande malveillante exécutée par l’utilisateur. Il complète les autres mesures ; il ne remplace ni la vérification du réseau, ni les mises à jour, ni l’authentification forte.

Vous avez cliqué, saisi un code ou installé un fichier : que faire ?

La priorité consiste à contenir l’incident sans effacer les indices utiles. N’essayez pas plusieurs « nettoyeurs » téléchargés au hasard : ils peuvent compliquer le diagnostic.

1. Coupez immédiatement le Wi-Fi et débranchez le câble réseau, sans reconnecter l’appareil au réseau de l’entreprise.
2. Depuis un autre appareil sain, prévenez la personne responsable de l’informatique et changez d’abord les mots de passe des comptes sensibles susceptibles d’avoir été utilisés.
3. Révoquez les sessions actives dans Microsoft 365, Google Workspace, la messagerie et les outils métier. Un simple changement de mot de passe ne coupe pas toujours tous les jetons de session déjà obtenus.
4. Si vous avez validé un code d’appareil ou une autorisation OAuth, faites contrôler les connexions récentes et les applications autorisées.
5. Notez les faits : hôtel, heure, nom du réseau, adresse affichée, fichier téléchargé, commande éventuellement exécutée et comptes utilisés. Prenez une photo de l’écran si cela ne prolonge pas l’exposition.
6. Faites diagnostiquer le poste avant de le réutiliser pour une activité sensible. Selon les constatations, une réinstallation maîtrisée peut être plus sûre qu’un nettoyage partiel.

Avis d’Axel Arnaud, Pixel Info : après une fausse mise à jour, la question n’est pas seulement « l’antivirus a-t-il supprimé un fichier ? ». Il faut aussi vérifier les sessions cloud, les comptes autorisés et les données auxquelles le poste avait accès. C’est ce périmètre qui détermine la réponse utile.

À Annecy et en Haute-Savoie, Pixel Info peut réaliser un diagnostic informatique, contrôler un PC Windows et aider à remettre en sécurité les accès professionnels. Si plusieurs appareils ou comptes sont concernés, l’incident doit aussi être traité avec le prestataire informatique ou le responsable de sécurité de l’entreprise.

Ce qu’une TPE peut mettre en place sans projet complexe

Une petite structure n’a pas besoin d’une infrastructure de grand groupe pour réduire fortement le risque. Une consigne de voyage d’une page, connue de tous, est souvent plus efficace qu’un outil que personne ne comprend.

• Interdire les téléchargements et mises à jour proposés par les portails Wi-Fi.
• Réserver le réseau mobile aux accès sensibles et rembourser l’eSIM ou le forfait nécessaire.
• Utiliser des comptes sans droits administrateur pour le travail courant.
• Activer l’authentification forte et limiter le flux de code d’appareil lorsqu’il n’est pas nécessaire.
• Tenir à jour l’inventaire des portables emportés, leur chiffrement et leur sauvegarde.
• Définir un numéro ou un contact à prévenir avant toute manipulation en cas de doute.

Cette démarche complète les précautions prises lors des mises à jour Windows : sauvegarde préalable, installation depuis la source officielle et contrôle du poste après redémarrage.

Questions fréquentes sur la sécurité du Wi-Fi à l’hôtel

Le Wi-Fi d’un hôtel est-il toujours dangereux ?

Non. De nombreux établissements exploitent correctement leur réseau invité. En revanche, l’utilisateur ne maîtrise ni l’équipement ni son administration. Il faut donc traiter ce réseau comme non fiable pour les opérations sensibles et refuser toute installation proposée par son portail.

Un cadenas ou le HTTPS suffit-il à prouver qu’une page est sûre ?

Non. Le HTTPS protège la connexion vers le site affiché, mais un site d’hameçonnage peut aussi utiliser un certificat valide. Vérifiez le domaine, la cohérence de la demande et surtout l’action que vous avez réellement initiée.

Un VPN protège-t-il contre CaptiveCrunch ?

Un VPN correctement configuré protège une partie du trafic, mais il ne protège pas d’un faux portail avant l’établissement du tunnel, d’un fichier installé volontairement ou d’une autorisation OAuth validée par erreur. Le partage de connexion et les règles de comportement restent essentiels.

Que faire si la page Wi-Fi demande une mise à jour du navigateur ?

Fermez la page, oubliez le réseau et utilisez une autre connexion. Vérifiez ensuite les mises à jour depuis les paramètres officiels du navigateur ou du système. Ne relancez pas le fichier proposé.

Faut-il réinitialiser le PC après avoir installé une fausse mise à jour ?

Pas automatiquement, mais il faut cesser d’utiliser le poste pour des comptes sensibles et le faire examiner. La décision dépend du fichier exécuté, des alertes, des droits utilisés et des données accessibles. Une réinstallation propre peut être recommandée si l’intégrité du système ne peut pas être garantie.

Voyager connecté sans mettre ses comptes en danger

CaptiveCrunch rappelle qu’un réseau portant le nom d’un hôtel peut devenir un point de départ crédible pour une attaque. Les bons réflexes restent simples : préparer le poste avant le départ, privilégier une connexion mobile pour le travail sensible, ne rien installer depuis un portail captif et signaler immédiatement toute demande inhabituelle.

Vous avez vu une fausse mise à jour, saisi un code Microsoft inattendu ou utilisé un ordinateur professionnel sur un réseau douteux ? Contactez Pixel Info avant de reconnecter le poste à vos outils de travail. Un diagnostic ciblé permet de vérifier l’appareil, les sessions et les comptes réellement exposés.

Sources officielles

• Microsoft Threat Intelligence — CaptiveCrunch, 31 juillet 2026
• ANSSI — 10 règles d’or en matière de sécurité numérique
• CISA — précautions de cybersécurité en déplacement