Un réseau Wi-Fi public est un point d’accès sans fil ouvert, accessible sans authentification forte, dans les gares, hôtels, aéroports ou cafés. La menace qui pèse sur ces connexions a changé de nature : le chiffrement HTTPS généralisé a rendu l’écoute passive du trafic moins rentable pour les attaquants. Le danger s’est déplacé vers la compromission de l’infrastructure Wi-Fi elle-même et le vol d’identifiants cloud.
Compromission de l’infrastructure Wi-Fi : la menace qui remplace l’écoute du trafic
La plupart des articles sur la sécurité des réseaux wifi publics décrivent encore un scénario classique : un attaquant intercepte des paquets non chiffrés pour lire vos échanges. Ce modèle est devenu marginal. Avec le déploiement massif du HTTPS, les données en transit sont désormais chiffrées de bout en bout sur la quasi-totalité des sites web.
Les attaques documentées récentes ciblent directement le matériel réseau. Microsoft a publié un avertissement concernant des réseaux Wi-Fi d’hôtels et d’aéroports détournés pour voler des identifiants de connexion. Le vecteur n’est plus l’écoute du trafic, mais la manipulation de l’infrastructure : empoisonnement DNS, redirection vers des pages de connexion falsifiées, injection de faux certificats.
Un routeur Wi-Fi compromis peut rediriger toutes les requêtes DNS vers des serveurs contrôlés par l’attaquant. Résultat : vous tapez l’adresse de votre messagerie ou de votre banque, et vous atterrissez sur une copie parfaite du site. Le cadenas HTTPS peut même apparaître si l’attaquant utilise un certificat valide pour son domaine piégé.
Identités cloud et portails captifs piégés : les nouvelles cibles sur un wifi public
Le déplacement des données personnelles vers le cloud a transformé ce que les attaquants cherchent à voler. Un mot de passe Microsoft 365, Google Workspace ou iCloud donne accès à des emails, des fichiers, des photos, des contacts, parfois à des sessions d’entreprise entières. Voler un identifiant cloud rapporte plus qu’intercepter une session web isolée.
Le portail captif comme vecteur d’attaque
Le portail captif est la page qui s’affiche quand vous vous connectez à un réseau public : il demande d’accepter des conditions, de saisir un email, parfois de créer un compte. Ce mécanisme familier est devenu un terrain d’attaque documenté.
Des portails captifs frauduleux imitent ceux d’hôtels ou d’aéroports pour collecter des identifiants. Certains affichent de faux messages de mise à jour système ou proposent l’installation d’un logiciel présenté comme obligatoire pour accéder au réseau. Ces faux prompts de mise à jour via portail captif sont un vecteur d’infection par malware de plus en plus exploité.
La différence avec un faux réseau Wi-Fi classique (evil twin) est subtile. Ici, le réseau peut être légitime, mais le portail lui-même a été compromis, ou un attaquant a injecté son propre portail en amont de la connexion.
Ce que recommandent les autorités en 2026 pour la sécurité wifi
La posture institutionnelle a évolué. La FTC américaine indique en juin 2026 que se connecter à un réseau Wi-Fi public est généralement sûr grâce au chiffrement HTTPS, tout en recommandant des mots de passe robustes et l’authentification à deux facteurs. Le conseil n’est plus d’éviter le Wi-Fi public, mais de sécuriser ses comptes et ses usages.
Les éditeurs de cybersécurité et les autorités orientent désormais leurs recommandations vers des contre-mesures ciblées, notamment pour les voyageurs professionnels. La liste des réflexes utiles a changé par rapport aux guides classiques.
- Activer l’authentification à deux facteurs sur tous les comptes cloud (messagerie, stockage, outils professionnels) avant de partir en déplacement, car c’est le seul barrage efficace si un identifiant est volé via un portail captif piégé
- Ne jamais accepter une mise à jour logicielle ou l’installation d’un programme demandée par un portail captif : aucun réseau Wi-Fi légitime n’exige l’installation d’un logiciel tiers pour fonctionner
- Vérifier manuellement l’URL de chaque page de connexion sensible (banque, messagerie) plutôt que de cliquer sur un lien ou un favori, car un empoisonnement DNS peut rediriger même les adresses familières
- Utiliser un VPN qui chiffre l’ensemble du trafic, y compris les requêtes DNS, pour neutraliser les redirections frauduleuses au niveau du routeur
VPN et chiffrement DNS : protection réelle contre les attaques sur les réseaux publics
Le VPN reste l’outil de protection le plus direct contre les attaques liées à l’infrastructure Wi-Fi. En créant un tunnel chiffré entre votre appareil et un serveur distant, il empêche le routeur compromis de lire ou de rediriger vos requêtes.
Tous les VPN ne se valent pas sur ce point. Un VPN qui ne chiffre pas les requêtes DNS laisse une faille exploitable : l’attaquant ne voit pas le contenu de votre navigation, mais peut encore rediriger vos résolutions de noms de domaine. Un VPN avec chiffrement DNS intégré neutralise l’empoisonnement DNS, le vecteur principal des attaques sur infrastructure Wi-Fi.
Limites du VPN face aux portails captifs
Un VPN ne protège pas contre la saisie volontaire d’identifiants sur un portail captif piégé. Si vous entrez votre adresse email et un mot de passe sur une fausse page de connexion avant même d’activer le VPN, le mal est fait.
C’est pourquoi l’authentification à deux facteurs complète le VPN. Même si un identifiant est capturé, le second facteur (code temporaire, clé physique) bloque l’accès au compte. Les deux mesures fonctionnent en tandem : le VPN protège le trafic réseau, le second facteur protège l’identité cloud.
Wifi public en déplacement professionnel : les risques spécifiques pour les données d’entreprise
Les appareils professionnels connectés à un Wi-Fi public exposent des données qui dépassent le cadre personnel. Un identifiant Microsoft 365 ou Google Workspace compromis donne potentiellement accès à des espaces partagés, des documents confidentiels, des annuaires internes.
Des acteurs étatiques exploitent ces failles. Des opérations documentées montrent que des réseaux Wi-Fi d’hôtels ont été ciblés pour installer des logiciels de surveillance sur les appareils de voyageurs professionnels. Le Wi-Fi de l’hôtel sert alors de point d’entrée vers le réseau de l’entreprise.
La contre-mesure la plus efficace reste la combinaison VPN d’entreprise, authentification multifacteur et politique de connexion restrictive sur les appareils professionnels. Désactiver la connexion automatique aux réseaux connus empêche un appareil de se raccrocher silencieusement à un faux point d’accès portant le même nom qu’un réseau déjà utilisé.
Le Wi-Fi public n’est pas devenu sûr. Le chiffrement HTTPS a simplement déplacé la ligne de front : les attaquants ne lisent plus vos données en transit, ils volent vos clés d’accès au cloud. La protection passe désormais par la sécurisation des comptes autant que par celle de la connexion réseau.
