Des hôtels, des centres de conférences et d’autres lieux publics ciblés: un groupe de hackers lié au renseignement russe accusé de cyberespionnage via les réseaux Wifi publics

Microsoft a révélé, dans un long rapport d’enquête publié fin juillet, qu’un groupe lié au renseignement extérieur russe (SVR) exploitait des réseaux Wifi à portails captifs pour diffuser des logiciels malveillants, notamment à des fins de vol de données et de cyberespionnage. En s’appuyant sur les recherches de l’entreprise de cybersécurité ReliaQuest, le groupe Storm-2945, une émanation de "Midnight Blizzard" (aussi connu sous les noms d’APT29, Cozy Bear, The Dukes et Yttrium), a été identifié comme responsable d’une campagne visant les utilisateurs de réseaux publics dans des hôtels, centres de conférence et autres lieux du secteur de l’hôtellerie.

L’origine exacte de la compromission initiale reste toutefois inconnue à ce stade. L’opération, amorcée dès février 2026 et amplifiée par l’usage de l’intelligence artificielle, a évolué à partir de début mai, permettant aux attaquants d’intercepter des données et d’étendre leur accès aux systèmes ciblés. De son côté, ReliaQuest avait souligné des similitudes avec "FrostArmada", une opération d’espionnage attribuée à APT28 (également connu sous les noms de Forest Blizzard et Fancy Bear), un autre groupe lié à la Russie, sans toutefois établir d’attribution formelle.

Midnight Blizzard est un groupe connu pour cibler des organisations gouvernementales et diplomatiques, des ONG ainsi que des fournisseurs de services informatiques aux États-Unis et en Europe, dans le but de collecter des renseignements au service des intérêts de la politique étrangère russe. "À ce jour, Microsoft a constaté une violation à grande échelle des réseaux Wifi au sein d'établissements du secteur de l'hôtellerie et d'autres réseaux équipés de portails captifs dans plusieurs pays", note le géant technologique américain.

Des hôtels et centres de conférences ciblés

ReliaQuest a également identifié cette activité dans des hôtels, des centres de conférences et d’autres lieux publics, estimant que l’objectif des attaquants est notamment d’accéder aux comptes de voyageurs d’affaires. Les attaques visent principalement les ordinateurs sous Windows, mais Microsoft a également détecté des tentatives similaires sur les smartphones Android. Les pirates utilisent notamment des techniques de manipulation pour pousser les utilisateurs à installer de fausses applications mobiles contenant des logiciels malveillants.

"La technique observée ne semble pas fondamentalement nouvelle; toutefois, l'intégration du 'device code phishing' dans les opérations de portail captif (page de connexion qui apparaît automatiquement lorsqu’un utilisateur se connecte à un réseau Wi-Fi public, ndlr) et de manipulation du trafic pourrait accroître la probabilité que les utilisateurs perçoivent la demande d'authentification comme légitime", détaillent les équipes de Microsoft Threat Intelligence.

Au-delà de l’installation de ces programmes espions, les attaquants utilisent aussi une méthode plus discrète: le vol de codes d’authentification. Concrètement, les victimes sont redirigées vers une fausse page qui ressemble à une page de connexion Microsoft. Elles sont alors invitées à entrer un code fourni par les pirates sur le véritable site de Microsoft. En pensant simplement se connecter à leur compte, elles valident en réalité l’accès des hackers, qui peuvent alors prendre le contrôle de leur session.