Une page de connexion Wi-Fi détournée ne vous infecte pas. Se laisser convaincre d'exécuter quelque chose, si.
Le 31 juillet 2026, Microsoft a publié son analyse de CaptiveCrunch, une campagne qui prend le contrôle des captive portals — la page de connexion qu'un réseau d'hôtel ou de lieu d'événement place devant internet — pour manipuler le trafic et proposer une fausse mise à jour du navigateur ou du système.
Cible visée : les voyageurs d'affaires sous Windows avec un compte Microsoft 365. Microsoft attribue la campagne à Storm-2945, un sous-groupe de l'acteur qu'il suit sous le nom de Midnight Blizzard, et décrit l'objectif comme l'accès aux comptes. Si vous partez en vacances avec un iPhone, votre exposition est bien moindre. Les réflexes ci-dessous restent utiles, et le plus efficace est gratuit.
Le déroulé de CaptiveCrunch, étape par étape
Quatre étapes, telles que Microsoft les décrit. Repérez où le voyageur doit agir : c'est là que la chaîne se rompt.
1 · Le portail est pris
Les attaquants prennent le contrôle du captive portal d'un réseau — la page qui s'affiche avant que internet fonctionne — et détournent le trafic DNS et HTTP via leur propre infrastructure.
2 · Une fausse mise à jour apparaît
À la place de la page attendue s'affiche une invite de mise à jour du navigateur ou du système. Microsoft appelle cette technique ClickFix : la page vous demande de copier une commande et de l'exécuter vous-même.
3 · La commande installe le maliciel
Son exécution installe CornFlake, un outil d'accès à distance Windows qui enregistre les frappes et vole les mots de passe du navigateur, ou ChocoShell, un infostealer PowerShell qui récupère cookies de session et jetons Microsoft 365.
4 · Ou vous approuvez leur session
Depuis le 16 juillet 2026, certaines pages recourent au phishing par code d'appareil : on vous donne un code à saisir sur la vraie page de connexion Microsoft, ce qui connecte l'attaquant sous votre identité.
La seule chose à retenir
Se connecter au réseau n'est pas ce qui vous infecte. Chaque variante de cette chaîne exige une action humaine : coller une commande dans un terminal, ou saisir un code sur une page de connexion. Rien ne s'installe tout seul parce que vous avez rejoint le Wi-Fi.
Ce qui aide réellement, dans l'ordre
Classé selon la part de la chaîne que chaque mesure supprime. La première la supprime entièrement — c'est aussi la première recommandation de Microsoft.
- 1Utilisez vos propres données mobilesUn partage de connexion, une eSIM de voyage ou n'importe quelle connexion cellulaire contourne entièrement le réseau du lieu : pas de captive portal, pas de DNS manipulé, rien à prendre. C'est la première recommandation de Microsoft et le seul point ici qui supprime toute la chaîne.
- 2N'installez jamais une "mise à jour" proposée par une page de connexion Wi-FiUn captive portal légitime demande d'accepter des conditions, une adresse e-mail ou un code SMS. Il n'a aucune raison de mettre à jour votre navigateur ou votre système. N'installez de mises à jour que par l'outil du système lui-même.
- 3Ne collez jamais une commande venue d'une page web dans PowerShell ou TerminalC'est l'étape ClickFix, et la règle vaut bien au-delà de cette campagne. Microsoft cite explicitement les invites qui font appel à cmd.exe, PowerShell, rundll32.exe ou mshta.exe. Si une page web veut vous emmener dans un terminal, le problème, c'est la page.
- 4Ne réutilisez pas vos identifiants professionnels sur une page d'hôtelCes formulaires demandent un nom, un numéro de chambre, un e-mail. Donnez le minimum, et jamais le mot de passe que vous utilisez au travail. Microsoft conseille aussi de limiter ce que vous y révélez de votre employeur et de votre voyage.
- 5Passkeys et MFA — et, en entreprise, bloquer le device code flowLa connexion sans mot de passe par passkeys dévalue des identifiants volés. Pour les équipes IT, la recommandation précise de Microsoft est de n'autoriser le device code flow OAuth que là où il est nécessaire et de le bloquer partout ailleurs via Conditional Access, avec des stratégies de risque de connexion et le suivi des rapports de connexions à risque.
- 6Un VPN — comme couche supplémentaire, pas comme réponseRéellement utile une fois sur le réseau. Mais il couvre un maillon de la chaîne ci-dessus, et pas le maillon décisif. Le tableau qui suit en donne la version honnête.
Une couche parmi d'autres
Un VPN vaut le coup. Voici exactement ce qu'il fait.
Chiffrer votre trafic sur un réseau partagé est un vrai bénéfice, et NordVPN le fait bien. Ce n'est pas une défense contre la chaîne ci-dessus, et nous préférons le dire plutôt que de vous vendre un faux sentiment de sécurité.
Couvre
- L'écoute sur un réseau partagé
- La manipulation DNS et HTTP, une fois connecté
- Votre banque et les applis qui bloquent les IP étrangères
Ne couvre pas
- La page de connexion Wi-Fi : elle se charge avant
- Ce qu'on vous persuade d'exécuter
- Une connexion que vous approuvez vous-même
Grosse remisesur les forfaits 2 ans · prix au paiement
Lien d'affiliation — Packset peut percevoir une commission. Cela ne change jamais nos recommandations ni le prix que tu paies.
Ce qu'un VPN couvre réellement ici
Nous touchons une commission quand quelqu'un souscrit un VPN via ce site : voici donc la version qui n'est pas un argumentaire, vérifiée maillon par maillon face à ce que décrit Microsoft.
Un maillon sur cinq, et pas le maillon décisif. Un VPN est une couche raisonnable face aux risques ordinaires d'un réseau partagé, et c'est à ce titre que nous le recommandons. Ce n'est pas une défense contre cette campagne, et quiconque vous le vend comme telle en promet trop.
Il en va de même des fonctions de protection contre les menaces et de filtrage DNS intégrées aux applications VPN : elles bloquent des domaines déjà connus comme malveillants, ce qui ne change rien face à une infrastructure montée pour une campagne récente.
Et parfois, le plan B n'existe pas
Nos propres fiches Wi-Fi d'aéroports recensent des aéroports où les voyageurs signalent des VPN purement bloqués, principalement en Chine continentale. C'est l'argument pratique en faveur du plan A : si votre connectivité dépend d'un tunnel que vous ne pourrez peut-être pas ouvrir, emportez plutôt vos propres données.
Consulter les fiches Wi-Fi des aéroportsLe Wi-Fi public, sans faux-semblants
Pour une navigation ordinaire depuis un téléphone à jour, globalement oui. Les compromissions identifiées par Microsoft concernent des réseaux du secteur hôtelier — hôtels, centres de congrès et lieux partagés — ainsi que d'autres réseaux équipés du même matériel de captive portal ; aucun aéroport n'est nommé en particulier, et aucun chiffre n'est publié sur le nombre de réseaux touchés où que ce soit. Le conseil de Microsoft est plus large et les nomme, lui : traiter de la même manière comme non fiables les réseaux d'hôtel, de congrès et d'aéroport. Ce qui mérite réflexion est le même partout : le captive portal est une page web contrôlée par quelqu'un d'autre. Traitez ce qu'elle affiche comme non fiable et le problème rétrécit beaucoup.
En partie, et moins qu'on ne l'espère. Il chiffre votre trafic une fois actif, ce qui règle la manipulation DNS et HTTP. Il ne couvre pas la page de connexion elle-même, puisqu'elle se charge avant l'existence du tunnel, et il ne peut pas vous empêcher d'exécuter une commande ou d'approuver une connexion. Le tableau ci-dessus le détaille maillon par maillon.
Le maliciel décrit par Microsoft ne vise que Windows, et la campagne cible des comptes Microsoft 365 d'entreprise. Microsoft ajoute que les mêmes pages contiennent des instructions invitant les utilisateurs Android à installer un APK, et que l'acteur pourrait aussi viser Android. Le rapport ne décrit pas de charge macOS ou iOS — ce qui ne revient pas à dire qu'il n'en existe pas. La règle de ne jamais exécuter ce qu'une page Wi-Fi vous demande reste donc valable.
Considérez l'appareil comme compromis et cessez de l'utiliser pour quoi que ce soit de sensible. Depuis un autre appareil sain, changez les mots de passe des comptes auxquels il était connecté et fermez toutes les sessions actives. S'il s'agit d'un ordinateur professionnel, prévenez immédiatement votre équipe IT ou sécurité : avec des jetons Microsoft 365 en jeu, elle seule peut révoquer les sessions de façon centralisée. Se reconnecter en espérant que tout ira bien n'est pas un plan.
La page qui intercepte votre navigateur à la connexion et exige d'accepter des conditions, de saisir un e-mail ou un code SMS avant de laisser passer le trafic. C'est ainsi que la plupart des Wi-Fi gratuits sont contrôlés. Nos pages aéroports indiquent la méthode de connexion de chaque aéroport.
Microsoft décrit l'objectif comme l'accès aux comptes de voyageurs d'affaires, afin de collecter du renseignement. Si vous voyagez pour le travail avec un portable Windows et un compte Microsoft 365, vous correspondez à cette description plus que la moyenne. Sinon, cette campagne précise ne vous vise probablement pas — les réflexes restent peu coûteux.
Tout le contenu de cette page provient du rapport de Microsoft Security du 31 juillet 2026, CaptiveCrunch: Midnight Blizzard targets travelers worldwide. Là où Microsoft ne publie aucun chiffre, nous n'en publions pas non plus.
Décidez comment vous vous connecterez — sur vos données ou sur les leurs — pendant que vous faites encore vos bagages, pas devant la réception de l'hôtel.