Le Wi-Fi des hôtels devient un vecteur d’espionnage

Microsoft a mis au jour une campagne mondiale qui transforme le Wi-Fi des hôtels en point d’entrée pour les malwares, le vol d’identifiants et l’espionnage d’entreprise. L’enquête de la source Microsoft indique que l’opération manipule des réseaux du secteur hôtelier depuis début mai 2026. Elle cible les voyageurs au moment où les invites de connexion habituelles semblent les plus fiables.

La campagne, baptisée CaptiveCrunch, est liée à Storm-2945, que Microsoft évalue comme un sous-cluster opérationnel de Midnight Blizzard. Les gouvernements occidentaux attribuent ce groupe de menace plus large au Service de renseignement extérieur russe, ou SVR. Ses cibles traditionnelles comprennent les gouvernements, les diplomates, les organisations non gouvernementales et les fournisseurs de technologies.

Cet historique crée le conflit central. Une page de connexion d’hôtel ressemble à une infrastructure destinée aux consommateurs, mais le voyageur qui l’utilise peut fournir un accès à un environnement gouvernemental ou d’entreprise. CaptiveCrunch transforme ce moment de commodité en voie de contournement des défenses qui protègent les e-mails, les fichiers cloud et les systèmes d’identité.

Microsoft a observé à la fois la distribution de malwares et du phishing de type adversary-in-the-middle, dans lequel un attaquant intercepte ou redirige secrètement le trafic entre un utilisateur et un service en ligne. Certaines victimes rencontrent de fausses mises à jour ou instructions de vérification. D’autres sont dirigées vers un processus d’authentification Microsoft légitime qui autorise la session d’un attaquant.

Le résultat est plus grave que la simple surveillance d’un Wi-Fi public. L’attaquant n’a pas besoin de chaque voyageur. Il lui faut des personnes sélectionnées dont les appareils, sessions de navigateur ou identités Microsoft 365 mènent à des réseaux de plus grande valeur.

L’enquête de la source Microsoft modifie le modèle de menace lié aux voyages

CaptiveCrunch fait du réseau lui-même un élément de l’attaque d’ingénierie sociale.

Selon l’enquête sur CaptiveCrunch, Microsoft a commencé à observer les attaques contre les réseaux du secteur hôtelier début mai 2026. Storm-2945 menait déjà des opérations de phishing assistées par IA utilisant des codes d’appareil et OAuth depuis février.

La campagne manipule le trafic du système de noms de domaine et le trafic HTTP non chiffré associés aux portails captifs. Un portail captif est la page de connexion ou d’acceptation affichée avant qu’un réseau invité n’accorde l’accès à Internet. Les voyageurs s’attendent couramment à voir ces pages dans les hôtels, aéroports, centres de conférences et espaces de travail partagés.

Cette attente offre une couverture utile à l’attaquant. Une connexion retardée, une vérification du navigateur ou une demande de mise à jour ne semble pas immédiatement suspecte après qu’une personne a rejoint un réseau inconnu. Les circonstances environnantes contribuent à authentifier la tromperie avant que la victime n’en évalue les détails techniques.

Microsoft indique que des réseaux compromis redirigent le trafic via une infrastructure contrôlée par les attaquants. La destination peut afficher une fausse mise à jour de navigateur, une réparation du système d’exploitation, une analyse de sécurité ou un diagnostic réseau. L’ingénierie sociale ClickFix pousse alors l’utilisateur à télécharger un fichier ou à exécuter des commandes copiées.

Les attaques ClickFix sont efficaces parce qu’elles présentent l’exécution comme une opération de dépannage. La victime croit que le navigateur ou le réseau a identifié un problème. Les instructions la persuadent ensuite d’effectuer l’action que les contrôles de sécurité auraient autrement bloquée.

Microsoft a également observé des pages d’atterrissage orienter les voyageurs vers l’authentification par code d’appareil. Le flux de code d’appareil est un processus OAuth légitime destiné aux appareils qui ne peuvent pas fournir une interface de connexion classique. Un utilisateur visite une véritable page d’authentification et saisit un code court affiché ailleurs.

La tromperie réside dans l’identité de la personne qui a lancé la session. L’attaquant crée la demande d’authentification, puis persuade la victime de saisir son code. Si la victime approuve l’accès, le fournisseur d’identité légitime autorise la session de l’attaquant.

Cette technique n’est pas nouvelle. Microsoft avait déjà documenté l’utilisation par Midnight Blizzard de phishing par code d’appareil via des plateformes de messagerie. CaptiveCrunch modifie le contexte en plaçant la demande dans une expérience d’enregistrement réseau, où l’authentification semble déjà attendue.

Microsoft indique que l’activité a affecté des réseaux du secteur hôtelier et d’autres environnements à portail captif dans plusieurs pays. ReliaQuest a également identifié des activités impliquant des hôtels, des centres de conférences et d’autres lieux partagés. Les rapports disponibles ne fournissent pas de liste complète des emplacements ou des organisations victimes.

L’enquête n’a pas déterminé comment Storm-2945 a initialement obtenu l’accès à l’infrastructure de portail concernée. Microsoft a relevé des équipements et systèmes de gestion communs sur plusieurs réseaux. L’entreprise estime que ces similitudes suggèrent un accès à des services partagés au sein de l’écosystème des portails captifs, plutôt que des compromissions indépendantes dans chaque lieu.

Il s’agit toujours d’une évaluation, et non d’une conclusion confirmée sur la chaîne d’approvisionnement. Un service partagé pourrait expliquer la portée de la campagne, mais l’enquête de Microsoft se poursuit. Cette distinction importe aux exploitants d’hôtels qui doivent décider s’ils doivent inspecter un seul établissement ou l’ensemble d’un réseau géré.

La campagne comprend également un possible ciblage d’Android. Microsoft a trouvé des instructions de pages ClickFix dirigeant les utilisateurs Android vers l’installation d’un paquet APK. L’entreprise les décrit comme des indices, tandis que son analyse de malware la plus détaillée concerne les systèmes Windows.

Le changement durable est donc plus large qu’un seul domaine malveillant ou qu’un seul hôtel. Les voyageurs ne peuvent plus considérer un portail captif familier comme une preuve que l’invite suivante provient de l’établissement. L’attaquant peut exploiter un comportement réseau de confiance sans imiter parfaitement la marque de l’hôtel.

Les voyageurs d’affaires sont devenus des points d’accès mobiles

Le voyageur est précieux parce que l’identité et l’accès au cloud accompagnent l’employé.

Midnight Blizzard a historiquement poursuivi des objectifs de renseignement plutôt que des vols financiers indiscriminés. Le profil APT29 tenu par MITRE relie le groupe à des opérations de longue durée contre des gouvernements, des organismes de recherche, des cibles diplomatiques et des organisations technologiques. Les comptes compromis soutiennent souvent la persistance, la collecte de renseignements et les déplacements latéraux.

Les voyages d’affaires créent une concentration inhabituelle d’opportunités. Les employés transportent des ordinateurs portables gérés, des applications d’authentification, des sessions de navigateur, des e-mails professionnels, des documents locaux et des profils réseau enregistrés. Ils travaillent également en dehors de bureaux familiers et de canaux d’assistance établis.

Un voyageur confronté à une connexion d’hôtel défaillante subit souvent une pression immédiate pour se connecter. Il peut devoir rejoindre une réunion, récupérer une présentation ou répondre à un client. Cette urgence favorise l’attaquant, car les instructions de dépannage peuvent sembler plus raisonnables que d’attendre l’assistance de l’entreprise.

CaptiveCrunch concentre également plusieurs formes de contexte en un seul moment. Le lieu connaît la localisation du client et la durée de son séjour. L’appareil révèle le comportement de son système d’exploitation. Le navigateur attend une vérification de connectivité. L’utilisateur attend une page d’enregistrement et peut prévoir de saisir des informations d’identification.

Ces signaux aident les attaquants à sélectionner ou façonner un leurre. Microsoft indique que Storm-2945 a utilisé l’IA pendant une part significative de l’opération. L’entreprise n’affirme pas que l’IA a mené les attaques de manière autonome, sélectionné chaque victime ou créé chaque composant de malware.

Les preuves disponibles suggèrent plutôt que l’IA a soutenu le travail opérationnel. Microsoft relève qu’un composant PowerShell contient des commentaires de développeur détaillés et des explications cohérentes sur les décisions d’évasion. Les enquêteurs ont estimé que l’auteur pouvait avoir utilisé la génération de code assistée par IA.

Cette possibilité importe moins que l’intégration de la campagne. La manipulation du trafic amène un voyageur vers le leurre. L’ingénierie sociale déclenche l’exécution ou l’authentification. Le malware collecte des données sur l’appareil, tandis que des jetons volés peuvent donner accès à des services cloud.

Les programmes traditionnels de sensibilisation des employés apprennent souvent aux utilisateurs à examiner les expéditeurs et les liens d’e-mails. CaptiveCrunch commence avant l’arrivée d’un e-mail. Un navigateur peut ouvrir automatiquement un portail après que le système d’exploitation a détecté une connectivité restreinte.

Les défenses d’entreprise ont aussi tendance à répartir les responsabilités. Une équipe de voyage réserve l’hébergement, les équipes réseau gèrent la connectivité, les équipes d’identité configurent l’authentification et les équipes chargées des terminaux enquêtent sur les malwares. L’attaque traverse ces frontières au cours d’une seule session.

Les exploitants d’hôtels sont confrontés à un problème connexe. De nombreux établissements externalisent des parties de leur infrastructure de réseau invité, notamment la gestion des portails, l’authentification, l’analytique ou l’assistance. Microsoft n’a pas publiquement identifié quels systèmes partagés, le cas échéant, expliquent les similitudes observées.

Sans cette attribution, chaque participant dispose d’une vision incomplète. Un établissement peut constater un problème réseau temporaire. Un fournisseur de services gérés peut observer un trafic inhabituel. Une équipe de sécurité d’entreprise peut recevoir une alerte sur un terminal après le retour de l’employé.

La réponse imposée doit donc aller au-delà du simple conseil de prudence aux employés. Les entreprises ont besoin de contrôles spécifiques aux voyages qui supposent que le réseau local peut modifier le trafic. Elles ont également besoin de politiques d’identité limitant ce qu’une interaction réussie peut autoriser.

Les points d’accès mobiles réduisent l’exposition aux infrastructures invitées compromises, mais ne résolvent pas toutes les situations de voyage. La couverture, les restrictions d’itinérance, les politiques relatives aux appareils et les conditions locales peuvent toujours pousser les employés vers le Wi-Fi du lieu. Certaines conférences se déroulent également dans des bâtiments où la réception cellulaire est faible.

Un réseau privé virtuel peut chiffrer le trafic après sa connexion, mais il ne constitue pas une réponse universelle. L’appareil peut interagir avec le portail captif avant le démarrage du tunnel. Un utilisateur peut toujours approuver un code d’appareil malveillant ou exécuter une fausse mise à jour pendant que le VPN est actif.

Les équipes de sécurité devraient traiter les voyages comme un état de risque distinct. Les nouvelles connexions réseau, les emplacements inhabituels, les nouveaux enregistrements d’appareils et l’authentification par code d’appareil peuvent devenir des signaux combinés. Un signal isolé peut être légitime, tandis que leur séquence mérite un examen plus approfondi.

Les organisations ont également besoin d’un moyen fiable de conserver les rapports de voyage, les indicateurs et les décisions de réponse. Une base de connaissances d’ingénierie consultable peut aider les équipes de réponse aux incidents à relier les preuves issues des terminaux à des cas antérieurs. Elle doit compléter, et non remplacer, la journalisation de sécurité formelle et la gestion des dossiers.

CaptiveCrunch transforme les vérifications de connectivité en distribution de malwares

Le principal avantage de la campagne est son timing, car elle insère des choix malveillants dans un comportement déjà initié par l’appareil.

Les systèmes d’exploitation modernes vérifient si un réseau fournit un accès ouvert à Internet. Si cette vérification détecte un portail captif, l’appareil peut ouvrir une fenêtre de navigateur limitée. CaptiveCrunch abuse de cette transition en manipulant le trafic DNS ou HTTP et en plaçant une infrastructure contrôlée par l’attaquant sur le chemin.

Une fausse mise à jour est particulièrement convaincante dans ce contexte. Le voyageur vient de rejoindre un réseau inconnu et rencontre une interruption technique. Une réparation du navigateur ou une vérification de sécurité offre une explication plausible au fait que la connexion ne soit pas encore terminée.

Microsoft a documenté plusieurs fausses interfaces associées à la campagne. Elles ressemblent à Windows Update, Windows Security, une installation de DirectX, des mises à jour de navigateur, des diagnostics réseau, une optimisation de disque et une installation de visionneuse de documents. Leur objectif est de retenir l’attention pendant l’exécution du code malveillant.

L’implant persistant principal est CornFlake, un cheval de Troie d’accès à distance pour Windows écrit en Go. Un cheval de Troie d’accès à distance, ou RAT, permet à un opérateur de surveiller et de contrôler un ordinateur infecté. Microsoft indique que Storm-2945 a rapidement fait évoluer cette couche de malware.

CornFlake peut afficher un écran de progression convaincant tout en se copiant dans un dossier de données d’application. Il enregistre un service Windows appelé « Cloud Sync Service » et utilise un nom de fichier ressemblant au processus légitime d’hébergement des services Windows. Ces libellés sont conçus pour paraître ordinaires lors d’une inspection superficielle.

Le malware établit sa persistance par plusieurs mécanismes. Microsoft a identifié l’enregistrement de service, des clés Registry Run, des tâches planifiées et une routine de surveillance. Si l’un de ces mécanismes disparaît, la routine de surveillance peut le restaurer.

Une fois actif, CornFlake prend en charge l’enregistrement des frappes, la surveillance du presse-papiers, les captures d’écran, l’enregistrement au microphone, la capture par webcam, la collecte de fichiers et la surveillance des supports amovibles. Il peut également ouvrir un shell de commande distant. Les opérateurs peuvent activer certaines capacités au moyen des paramètres de configuration.

Le malware effectue également une analyse détaillée de la posture de sécurité. Microsoft indique qu’il collecte des informations sur les logiciels installés, la protection des terminaux, les exclusions Defender, les paramètres du contrôle de compte d’utilisateur, les fichiers Office récents et l’historique de Remote Desktop. Cet inventaire aide les opérateurs à évaluer à la fois la valeur de la cible et ses défenses.

CornFlake communique avec l’infrastructure de commande via un canal chiffré. Chaque session utilise un échange de clés éphémère, ce qui rend le trafic capturé difficile à déchiffrer sans la clé privée correspondante. Sa configuration peut aussi mettre à jour les serveurs de commande et les cibles de collecte sans réinstaller l’implant.

Un second composant, ChocoShell, se concentre sur le vol rapide d’identifiants et de sessions. Il s’agit d’un infostealer PowerShell exécuté en mémoire, ce qui signifie qu’une grande partie de son activité ne dépend pas d’un fichier classique enregistré sur le disque. Ses cibles comprennent les mots de passe enregistrés, les cookies de navigateur, les jetons Microsoft 365 et les identifiants Wi-Fi.

Les jetons de session méritent une attention particulière. Un jeton de session indique à un service qu’un utilisateur s’est déjà authentifié. Si un attaquant vole et réutilise un jeton valide, il peut accéder à des données cloud sans avoir à saisir de nouveau le mot de passe de la victime.

ChocoShell cible plusieurs navigateurs basés sur Chromium, dont Edge et Chrome, ainsi que des navigateurs de la famille Firefox. Microsoft indique qu’il utilise plusieurs méthodes pour accéder aux données des navigateurs. L’une d’elles lance un navigateur avec le débogage distant activé et lui demande de renvoyer les cookies déchiffrés.

Le malware collecte aussi des jetons d’accès, des jetons d’actualisation et des jetons Web Account Manager depuis les caches Windows. Ces artefacts peuvent exposer des sessions Microsoft 365 ou cloud. L’objectif de l’attaquant peut donc passer rapidement d’un ordinateur portable en déplacement aux e-mails et aux données de l’organisation.

Les privilèges administratifs amplifient les dégâts. Microsoft a identifié plusieurs méthodes de contournement du contrôle de compte d’utilisateur, ainsi qu’une demande d’élévation visible si les approches silencieuses échouent. Le malware peut se faire passer pour un processus système afin d’accéder aux données de navigateur protégées et perturber les mises à jour de signatures Defender.

Après la collecte, ChocoShell compresse et encode les données avant de les envoyer à l’infrastructure de commande. Il supprime ensuite les scripts temporaires et vérifie que certaines modifications du registre ont été nettoyées. Ces étapes réduisent les traces évidentes sans garantir que l’attaque devienne invisible.

Storm-2945 gère les appareils infectés au moyen d’un panneau de commande web que Microsoft appelle FruitStone. L’interface suit les machines, les sessions des opérateurs, les informations volées, l’état de santé de l’infrastructure et les paramètres de charge utile. Son habillage imite une console ordinaire de gestion cloud d’entreprise.

C’est là que CaptiveCrunch ressemble moins à un kit de phishing ponctuel qu’à un système opérationnel. Les opérateurs peuvent configurer les charges utiles, faire tourner les relais, modifier les paramètres de collecte et examiner les victimes selon leur zone géographique. Le portail hôtelier fournit l’accès, mais l’infrastructure prend en charge une exploitation durable par la suite.

Le mécanisme explique aussi pourquoi les conseils courants sur HTTPS sont insuffisants. Les sites web chiffrés protègent leurs propres sessions, mais le voyageur peut tout de même être redirigé lors d’un contrôle de connectivité. Une fausse mise à jour ou une demande de code d’appareil peut convaincre l’utilisateur de quitter volontairement le parcours protégé.

Le Wi-Fi public est l’appât, mais l’identité est le prix

La campagne réussit lorsqu’une connexion d’apparence normale relie un réseau non fiable à une identité cloud de confiance.

Le phishing par code d’appareil illustre ce compromis le plus clairement. Microsoft a conçu l’authentification par code d’appareil pour des scénarios légitimes, tels que les téléviseurs, les outils en ligne de commande et les appareils aux capacités de saisie limitées. L’utilisateur termine l’authentification sur un autre appareil au moyen d’un navigateur normal.

Cette conception sépare l’appareil demandeur de l’utilisateur qui approuve. Un attaquant abuse de cette séparation en lançant la demande et en envoyant son code à la victime. La victime voit une véritable page Microsoft, mais approuve une session contrôlée ailleurs.

Un gestionnaire de mots de passe ne peut pas empêcher cette erreur, car la victime ne saisit pas de mot de passe sur un site contrefait. L’authentification multifacteur conventionnelle peut également ne pas l’arrêter si l’utilisateur approuve sciemment l’invite légitime. La décision de protection dépend de la compréhension de la session qui reçoit l’autorisation.

C’est pourquoi Microsoft recommande de bloquer le flux de code d’appareil partout où une organisation n’en a pas besoin. Lorsque l’usage professionnel exige ce flux de travail, les administrateurs peuvent le contraindre via l’accès conditionnel. Les politiques peuvent prendre en compte l’identité, l’état de l’appareil, l’emplacement, l’application et le risque de connexion.

L’authentification résistante au phishing améliore tout de même la défense globale. Les passkeys et les identifiants adossés au matériel lient plus étroitement l’authentification au service légitime. Les conseils MFA de Microsoft soulignent que les mots de passe, les codes à usage unique et les approbations par notification push restent vulnérables à l’interception, à l’ingénierie sociale ou à la fatigue des utilisateurs.

Toutefois, aucune méthode d’authentification ne neutralise à elle seule chaque voie utilisée par CaptiveCrunch. Les passkeys n’empêchent pas un utilisateur d’installer un malware présenté comme une mise à jour. La protection des terminaux n’empêche pas automatiquement quelqu’un d’autoriser la session OAuth d’un attaquant.

L’objectif défensif consiste à rompre la chaîne à plusieurs endroits. Les organisations peuvent restreindre les réseaux Wi-Fi non gérés, bloquer l’authentification par code d’appareil inutile, exiger des appareils gérés, évaluer le risque de connexion et enquêter sur les nouvelles inscriptions d’appareils. Elles peuvent également révoquer des sessions lorsqu’une compromission de terminal est suspectée.

Microsoft recommande une connectivité privée, notamment les points d’accès cellulaires et les données eSIM, lorsque cela est possible. L’entreprise conseille également aux voyageurs de ne pas installer de logiciels, de certificats, de mises à jour de navigateur ou d’outils de réparation présentés par un portail captif. Les mises à jour doivent provenir de mécanismes fiables du système d’exploitation ou de l’application.

Les voyageurs ne doivent jamais coller des commandes dans PowerShell, Command Prompt ou un autre hôte de scripts parce qu’une page réseau le demande. Une page de vérification n’a pas besoin d’accéder au terminal pour confirmer qu’une personne est humaine. Les instructions de type copier-coller puis exécuter sont un signe fort d’activité ClickFix.

Les organisations devraient aussi limiter les droits d’administrateur local sur les appareils de voyage. ChocoShell dispose de voies de repli, mais plusieurs de ses capacités les plus dommageables exigent une élévation de privilèges. Supprimer l’accès administratif habituel peut transformer une élévation silencieuse en invite visible, ou la bloquer complètement.

Microsoft conseille aux entreprises d’examiner les informations que les employés divulguent lors de l’inscription à un réseau invité. Les employés ne devraient pas réutiliser leurs identifiants professionnels sur les portails d’hôtel ou de conférence. Ils devraient limiter les détails inutiles concernant leur employeur, leur fonction ou leurs projets de déplacement.

Cette recommandation met en évidence un chevauchement inconfortable entre les données d’hospitalité et le ciblage. L’affiliation d’un client peut aider un opérateur de renseignement à distinguer un vacancier ordinaire d’un diplomate, d’un dirigeant, d’un chercheur ou d’un administrateur. Microsoft n’a pas indiqué que chaque établissement touché avait divulgué des dossiers d’inscription.

La campagne exerce également une pression sur les prestataires de l’hôtellerie. Le Wi-Fi invité ne peut plus être considéré uniquement comme un service évalué selon sa couverture et sa vitesse. L’intégrité du portail, l’accès des fournisseurs, le comportement DNS, les mises à jour logicielles et la surveillance de sécurité affectent désormais les identités d’entreprise des clients.

Les conclusions de Microsoft ont néanmoins des limites. L’entreprise n’a pas révélé le nombre de voyageurs infectés, d’établissements compromis, de pays touchés ni d’intrusions cloud réussies. « Répandue mais ciblée » décrit la portée opérationnelle, non un total mesuré de victimes.

L’accès initial aux environnements de portails captifs reste également non résolu. Des équipements partagés et des similitudes de gestion indiquent une faiblesse à l’échelle de l’écosystème, mais n’établissent pas une vulnérabilité universelle. Les défenseurs devraient éviter de supposer que le remplacement d’un seul fournisseur met fin à la campagne.

L’attribution repose également sur l’évaluation par Microsoft de recoupements techniques et opérationnels. L’entreprise relie Storm-2945 à Midnight Blizzard et cite des similitudes dans le phishing par code d’appareil, la collecte de données Microsoft Graph, la sélection des victimes et l’ingénierie sociale par messagerie. Les preuves publiques indépendantes restent plus limitées.

Ces incertitudes n’effacent pas les malwares, domaines ou techniques d’attaque observés. Elles définissent les limites de ce que la source Microsoft peut actuellement étayer. Les équipes de sécurité peuvent agir sur les comportements documentés sans considérer chaque défaillance de Wi-Fi public comme de l’espionnage russe.

Trois signaux montreront si CaptiveCrunch est contenu

La prochaine phase dépendra des conclusions sur l’infrastructure partagée, de la télémétrie d’identité et de la rotation éventuelle de leur système de diffusion par les attaquants.

Le premier signal sera une explication confirmée des compromissions de portails captifs. Microsoft indique que son enquête sur l’accès initial se poursuit. L’identification d’un fournisseur partagé, d’une plateforme de gestion, d’une exposition d’identifiants ou d’un appareil exploitable renforcerait l’interprétation à l’échelle de l’écosystème.

Cette conclusion modifierait la réponse. Les hôtels pourraient identifier la technologie concernée et coordonner la remédiation entre les établissements. Les entreprises pourraient mettre en relation les déplacements des employés avec des fournisseurs connus au lieu de traiter chaque réseau invité comme étant exposé de la même manière.

Une série de compromissions d’établissements sans lien affaiblirait la théorie d’un écosystème unique. Elle montrerait aussi que les attaquants peuvent reproduire l’opération sur des piles réseau variées. Ce résultat pourrait ralentir le confinement, car les défenseurs ne disposeraient pas d’une voie de remédiation centrale.

Le deuxième signal est l’activité d’identité associée à l’authentification par code d’appareil et à l’inscription de nouveaux appareils. Microsoft indique que Storm-2945 a utilisé ces méthodes pour collecter des données cloud avant l’apparition de CaptiveCrunch. Les entreprises devraient examiner si les sessions liées aux déplacements génèrent des approbations OAuth, une utilisation de jetons ou des accès aux boîtes aux lettres inhabituels.

Une baisse après un accès conditionnel plus strict appuierait les contrôles recommandés par Microsoft. La poursuite de compromissions malgré le blocage du flux de code d’appareil suggérerait que des sessions de navigateur volées, des malwares ou d’autres voies d’authentification portent une plus grande part de l’opération.

Les équipes en charge des identités devraient se coordonner avec les équipes de terminaux durant cet examen. Une session cloud suspecte peut constituer le premier signe visible d’une infection sur un réseau d’hôtel. Inversement, le téléchargement d’une fausse mise à jour peut justifier la révocation de sessions actives avant que les enquêteurs ne confirment le vol de jetons.

Microsoft fournit des conseils de chasse concernant la création de fichiers après les contrôles de connectivité des portails captifs. Une requête corrèle la création d’exécutables ou d’archives dans les deux minutes suivant le test réseau d’un appareil. Microsoft avertit que chaque correspondance n’est pas nécessairement malveillante.

Le troisième signal concerne la rotation de l’infrastructure et des charges utiles. Microsoft a publié des domaines, des adresses internet, des hachages de fichiers, des noms de services et des détections comportementales liés à l’activité observée. Ces indicateurs facilitent la recherche immédiate, mais les opérateurs sophistiqués remplacent souvent l’infrastructure exposée.

Les défenseurs devraient surveiller les nouveaux domaines imitant les services Microsoft, les redirections inattendues des tests de connectivité et les flux de fausses mises à jour modifiés. Ils devraient également suivre les comportements qui résistent aux changements cosmétiques, notamment les tâches planifiées inhabituelles, le débogage à distance des navigateurs, l’accès au cache des jetons et les téléchargements déclenchés par le réseau.

Une rotation rapide renforcerait l’idée que CaptiveCrunch est une plateforme opérationnelle active. Une disparition durable après une perturbation de l’infrastructure indiquerait que la divulgation publique a entraîné des coûts significatifs. Aucun de ces résultats ne prouverait que l’acteur a perdu son accès aux réseaux du secteur hôtelier.

L’usage de l’IA constitue un autre signal d’appui, même s’il ne devrait pas devenir le cœur du récit. Microsoft a remercié Anthropic et OpenAI pour leur collaboration durant l’enquête et affirme que Storm-2945 a utilisé l’IA dans une partie de ses opérations. De futures publications pourraient préciser si l’accès aux modèles a amélioré le ciblage, le codage, la localisation ou la gestion de l’infrastructure.

Pour les voyageurs, l’action immédiate est plus simple que le débat sur l’attribution. Privilégiez une connexion cellulaire de confiance, refusez les logiciels fournis par un portail et vérifiez les mises à jour dans les réglages de l’appareil. Ne saisissez jamais un code d’appareil à moins d’avoir vous-même initié la connexion.

Pour les entreprises, la sécurité des déplacements devrait devenir un programme intégré couvrant l’identité, les terminaux et le réseau. Limitez les flux d’authentification inutiles, imposez des méthodes résistantes au phishing, supprimez les accès administrateur local accordés de façon routinière et entraînez-vous à révoquer rapidement les jetons. Considérez la connectivité publique comme hostile avant même qu’un hôtel précis ne figure sur une liste d’alerte.

Le rapport source de Microsoft laisse d’importantes questions sans réponse, notamment sur la manière dont l’infrastructure du portail a été compromise et sur le nombre de voyageurs affectés. Son avertissement central est déjà clair. La prochaine invite du Wi-Fi d’un hôtel pourrait ne pas simplement demander l’accès à internet ; elle pourrait demander l’accès à l’organisation du voyageur.