Longtemps on a cru que les réseaux Wi-Fi des hôtels étaient bien plus sûrs que ceux des aéroports ou des grands centres urbains. Pourtant, depuis début mai 2026, un groupe de hackers reliés par les gouvernements britanniques et américains au service de renseignement extérieur russe sévit dans la plus grande impunité dans de nombreuses chaînes d’hôtels.
C’est Microsoft qui alerte qui sur cette campagne baptisée CaptiveCrunch et attribuée à Storm-2945. Elle détournerait le Wi-Fi d’hôtels, mais également de centres de conférence et d’autres lieux d’accueil avec pour cibles principales les voyageurs professionnels.
Une technique particulièrement crapuleuse
Concrètement, les assaillants prendraient le contrôle de la passerelle du portail captif à partir duquel la victime se connecte avec ses identifiants attribués par la réception. Elle se voit ensuite redirigée vers de fausses pages lui demandant, notamment, de mettre à jour le navigateur ou le système d’exploitation, ou encore de vérifier son identité. Le client, pensant alors avoir affaire à une page internet officielle, clique sur le lien présenté et tombe donc dans le panneau.
Cette technique repose sur le “ClickFix”. En d’autres termes, rien ne s’active sans que la victime ne clique elle-même sur les faux liens. C’est pourquoi les pages qui sont présentées se doivent d’être plus authentiques que jamais, et que les victimes se font bien souvent avoir.
Une fois que l’utilisateur clique sur le lien, c’est un véritable arsenal technique qui est déployé au sein de sa machine. Microsoft explique ainsi qu’un cheval de Troie s’immisce au sein de la machine en se faisant passer pour une fausse barre de progression d’un faux service Windows appelé “Cloud Sync Service”. Ce virus enregistre alors les frappes clavier, capture le presse-papiers, prend des captures d’écran, active le micro et la webcam… Il peut également voler les cookies et les mots de passe du navigateur et intercepter le contenu d’une clé USB connectée à la machine.
On retrouverait également au sein de cette attaque un voleur d’informations appelé ChocoShell, exécuté entièrement en mémoire et capable de voler de nombreuses informations et de désactiver les pares-feux de l’antivirus. Les ordinateurs ne seraient pas les seules cibles de ces hackers, puisque Microsoft indique qu’ils cibleraient également les terminaux Android, avec des instructions demandant de télécharger un fichier APK.
Comment se protéger ?
- Privilégiez une connexion privée comme le partage de données mobiles, une carte eSIM ou un routeur de voyage plutôt qu’un Wi-Fi public.
- Ne téléchargez jamais de mise à jour, certificat ou outil de dépannage proposé par un portail de connexion à un Wi-Fi.
- Méfiez-vous des instructions menant vers le Terminal vous demandant de “copier-coller une commande”.
- Si vous êtes sur Android, ne téléchargez pas un fichier APK inconnu.
🟣 Pour ne manquer aucune news sur le Journal du Geek, suivez-nous sur Google et sur notre canal WhatsApp. Et si vous nous adorez, on a une newsletter tous les matins.
