Piratage sur Wi-Fi public, réseaux jumeaux maléfiques (Evil Twin) et juice jacking¶

Les aéroports, les hôtels, les cafés, les centres de congrès et les gares sont des terrains de chasse privilégiés pour deux cyberattaques de proximité physique étroitement liées : les faux points d'accès Wi-Fi de type Jumeau Maléfique (Evil Twin) et le Juice Jacking (ports de recharge USB publics piégés). Lorsque vous connectez votre téléphone ou votre ordinateur portable à un réseau sans fil contrôlé par un pirate ou que vous branchez votre câble sur un port USB modifié, vous offrez à un attaquant un pont direct pour intercepter votre trafic, dérober vos identifiants de connexion ou détourner vos cookies d'authentification actifs.

Si vous venez de réaliser que vous avez saisi votre adresse e-mail, vos identifiants professionnels ou vos coordonnées bancaires sur un portail captif suspect d'hôtel ou d'aéroport, ou si votre téléphone a affiché le message "Faire confiance à cet ordinateur" alors qu'il était branché sur une borne de recharge publique, une réaction immédiate permet d'empêcher un pirate de prendre le contrôle de vos comptes.

Agissez immédiatement¶

1. Déconnectez-vous immédiatement du réseau Wi-Fi ou débranchez le câble USB. Désactivez complètement le Wi-Fi sur votre ordinateur portable ou votre smartphone, ou retirez physiquement votre câble de charge du port USB public sans attendre.
2. Oubliez le réseau Wi-Fi frauduleux afin que votre appareil ne s'y reconnecte pas automatiquement. Ouvrez vos réglages Wi-Fi, sélectionnez le nom du réseau suspect (SSID) et appuyez sur Oublier ce réseau ou désactivez la Connexion automatique.
3. Basculez sur une connexion de données mobiles fiable (4G/5G) pour sécuriser les comptes compromis. N'utilisez aucun réseau Wi-Fi local pendant que vous réinitialisez vos mots de passe. Utilisez la connexion cellulaire de votre téléphone ou un second appareil sain.
4. Révoquez toutes les sessions actives et changez les mots de passe des comptes saisis ou utilisés. Si vous avez tapé un mot de passe sur un faux portail captif ou ouvert un compte via le réseau pirate, accédez aux paramètres de sécurité de ce compte, cliquez sur Se déconnecter de tous les appareils / Révoquer les sessions actives et modifiez immédiatement le mot de passe.
5. Vérifiez vos règles de transfert d'e-mails et vos appareils d'authentification multifacteur (MFA). Contrôlez les paramètres de votre messagerie Gmail, Outlook ou professionnelle pour détecter d'éventuelles règles de transfert automatique non autorisées ou l'ajout récent de numéros de téléphone de récupération et d'applications d'authentification.
6. Redémarrez et inspectez votre appareil mobile si vous avez appuyé sur "Faire confiance" sur un chargeur USB public. Si vous avez validé "Faire confiance à cet ordinateur" ou activé le transfert de fichiers ou le débogage USB sur une borne publique, coupez toutes les connexions réseau, vérifiez l'absence de profils de configuration inconnus ou d'applications installées manuellement, et préparez-vous à sauvegarder vos photos importantes avant d'effectuer une réinitialisation d'usine si une compromission est confirmée.

flowchart TD
    A["Suspicion de compromission sur Wi-Fi public ou borne USB"] --> B{"Quelle menace s'est produite ?"}
    B -->|"Connecté à un Wi-Fi Evil Twin ou faux portail captif"| C["Coupez le Wi-Fi immédiatement et touchez Oublier ce réseau"]
    B -->|"Téléphone branché sur un port USB public : Juice Jacking"| D["Débranchez le câble USB immédiatement"]
    C --> E{"Avez-vous saisi des mots de passe, une carte ou accepté un certificat ?"}
    E -->|"Oui"| F["Passez en données mobiles 4G/5G et révoquez les sessions actives"]
    F --> G["Changez vos mots de passe, bloquez la carte bancaire et supprimez les certificats racines"]
    E -->|"Non"| H["Videz le cache DNS, activez un VPN ou DNS sur HTTPS et surveillez vos comptes"]
    D --> I{"Avez-vous touché Faire confiance à cet ordinateur ou Débogage USB ?"}
    I -->|"Oui"| J["Activez le mode Avion, supprimez les profils inconnus et réinitialisez si nécessaire"]
    I -->|"Non : Charge seule ou invite refusée"| K["Redémarrez le téléphone pour vider l'état USB et utilisez une prise secteur CA"]

Comment fonctionnent les attaques Wi-Fi Evil Twin et les faux portails captifs¶

Un Jumeau Maléfique (Evil Twin) est un point d'accès sans fil frauduleux mis en place par un pirate à l'aide d'un ordinateur portable, d'un routeur compact (comme un Wi-Fi Pineapple) ou d'un partage de connexion mobile afin d'imiter un réseau Wi-Fi public légitime. Comme les noms de réseaux Wi-Fi (SSID) ne sont pas authentifiés par défaut sur les réseaux ouverts, n'importe qui assis dans un salon d'aéroport ou un café peut diffuser un réseau nommé Airport_Free_WiFi, Starbucks_Guest ou Grand_Hotel_Conference.

Si le pirate émet un signal plus puissant à proximité de votre table que le véritable routeur fixé au plafond, votre téléphone ou votre ordinateur portable se connectera automatiquement à l'équipement de l'attaquant. Une fois connecté à un Evil Twin, le pirate se trouve en position d'Homme du Milieu (MitM) (aussi appelé Adversaire au Milieu ou AitM) entre votre appareil et internet.

Les trois pièges d'un réseau Evil Twin¶

1. Vol d'identifiants via un faux portail captif : Lorsque vous rejoignez le Wi-Fi légitime d'un hôtel ou d'un aéroport, une fenêtre de navigateur (portail captif) vous demande généralement d'accepter les conditions d'utilisation ou d'entrer votre numéro de chambre. Les pirates clonent ces pages d'accueil et ajoutent un formulaire indiquant : "Connectez-vous avec votre compte Google, Microsoft 365, Apple ou réseau social pour activer le Wi-Fi haut débit gratuit", ou demandent un numéro de carte bancaire pour une "vérification d'identité à 1 €". Tout ce que vous saisissez sur cette page est transmis directement à l'attaquant, qui utilise souvent un proxy inverse en temps réel pour voler simultanément votre jeton de session d'authentification multifacteur (MFA).
2. Usurpation DNS (DNS spoofing) et rétrogradation SSL : Bien que le chiffrement HTTPS moderne protège la majorité du trafic web même sur un Wi-Fi non fiable, un attaquant contrôlant le serveur DNS peut rediriger les noms de domaine que vous tapez, intercepter les connexions HTTP non chiffrées ou vous inciter à installer un profil malveillant d'Autorité de Certification (CA) Racine ("Installez le profil de sécurité de l'hôtel pour accéder à internet"). Si vous installez le certificat racine d'un pirate, celui-ci peut déchiffrer et lire en clair tout votre trafic HTTPS bancaire, professionnel et de messagerie.
3. Capture de requêtes de connexion automatique (attaques KARMA/MANA) : Si l'option "Connexion automatique" est activée sur votre téléphone ou ordinateur pour d'anciens réseaux ouverts (comme attwifi ou Hilton_Honors), votre appareil émet en permanence des signaux recherchant ces noms partout où vous allez. Les points d'accès pirates écoutent ces requêtes et prennent instantanément le nom du réseau demandé par votre appareil, vous connectant silencieusement au fond de votre sac ou de votre poche sans que vous ayez ouvert le menu Wi-Fi.

Procédure de récupération étape par étape après connexion à un Evil Twin¶

Si vous réalisez que vous vous êtes connecté à un faux point d'accès ou que vous avez saisi des données sensibles sur un écran de connexion suspect, suivez ces étapes dans l'ordre via une connexion cellulaire fiable :

1. Vérifiez et supprimez les certificats pirates ou profils d'appareil¶

Si le portail captif vous a demandé de cliquer sur "Autoriser" ou "Installer" dans une alerte système avant de vous donner accès à internet, inspectez immédiatement votre appareil : - Sur iPhone / iPad (iOS / iPadOS) : Ouvrez Réglages > Général > VPN et gestion de l'appareil. Si vous voyez un profil de configuration que vous ne reconnaissez pas (en dehors du profil MDM officiel de votre employeur), touchez-le et sélectionnez Supprimer le profil. Vérifiez ensuite Réglages > Général > Informations > Réglages des certificats de confiance et assurez-vous qu'aucun certificat racine inconnu n'est activé. - Sur Android : Ouvrez Paramètres > Sécurité et confidentialité > Autres paramètres de sécurité > Chiffrement et identifiants > Identifiants de confiance > Utilisateur (les intitulés varient légèrement selon le fabricant). Supprimez tout certificat utilisateur installé pendant votre session. - Sur Windows / macOS : Sur macOS, ouvrez Réglages Système > Confidentialité et sécurité > Profils (et vérifiez Trousseaux d'accès > Racines du système / Certificats). Sur Windows, appuyez sur Win + R, tapez certmgr.msc et inspectez les Autorités de certification racines de confiance pour repérer toute entrée suspecte.

2. Révoquez les cookies actifs et changez les mots de passe compromis¶

Si vous vous êtes connecté à Google, Microsoft, Apple ou au portail SSO de votre entreprise sur un faux portail captif, le pirate a probablement dérobé votre cookie de session en même temps que votre mot de passe. Changer uniquement votre mot de passe ne suffit pas toujours à l'expulser si le jeton de session reste actif : - Connectez-vous au tableau de bord de sécurité de votre compte depuis vos données mobiles, consultez la section Appareils connectés / Sessions actives et déconnectez toutes les sessions non reconnues. - Remplacez votre mot de passe par une phrase de passe unique et passez à une clé de sécurité matérielle ou une clé d'accès (FIDO2/WebAuthn), qui est liée cryptographiquement au véritable nom de domaine et ne peut pas être détournée par un faux portail captif. Consultez notre guide sur le phishing MFA et le contournement par adversaire au milieu.

3. Verrouillez les cartes bancaires compromises¶

Si un portail Wi-Fi d'aéroport, d'avion ou d'hôtel vous a demandé votre numéro de carte de crédit ou de débit et le cryptogramme CVV, ouvrez immédiatement votre application bancaire mobile via le réseau 4G/5G, verrouillez ou faites opposition sur la carte, et appelez le numéro figurant au dos de votre carte pour commander une nouvelle carte avec un nouveau numéro.

Comment fonctionne le Juice Jacking (recharge USB malveillante)¶

Les câbles USB standards (USB-A, Micro-USB et USB-C) comportent à la fois des broches d'alimentation (qui transportent le courant électrique pour charger la batterie) et des broches de données (lignes différentielles D+/D- et lignes haut débit TX/RX conçues pour synchroniser des fichiers, des photos et des commandes de diagnostic avec un ordinateur).

Le Juice Jacking survient lorsque des malfaiteurs modifient le matériel dissimulé derrière une prise USB murale publique, une borne de recharge d'aéroport, le port USB d'une lampe d'hôtel ou le port USB de données d'une voiture de location. En connectant un micro-ordinateur caché ou une puce contrôleur malveillante derrière la façade, un attaquant peut tenter deux types d'attaques lorsque vous branchez votre câble directement sur le port USB :

1. Exfiltration de données et abus de débogage : Si le port simule un ordinateur hôte et incite l'utilisateur à appuyer sur "Faire confiance à cet ordinateur" (sur iOS) ou à activer "Transfert de fichiers / MTP / Débogage USB" (sur Android), l'ordinateur dissimulé peut copier rapidement votre galerie photo, vos contacts, vos notes et vos sauvegardes locales non chiffrées, ou injecter des profils malveillants dans l'appareil.
2. Injection de frappes clavier HID (Human Interface Device) et attaques matérielles : Des ports USB piégés sophistiqués ou des câbles contrefaits laissés branchés sur des bornes publiques (comme les câbles O.MG ou les implants USB Hak5) dissimulent une minuscule puce Wi-Fi et un microcontrôleur directement dans l'embout en plastique du connecteur. Une fois branché sur un ordinateur portable ou un téléphone, le câble se fait passer pour un clavier USB externe et tape des centaines de commandes invisibles dans le terminal ou PowerShell par seconde pour ouvrir une porte dérobée à distance.

Sécuriser votre téléphone et votre ordinateur portable avant de voyager¶

Prenez cinq minutes avant de partir pour l'aéroport, l'hôtel ou un café afin d'activer ces réglages pour que vos appareils se protègent automatiquement :

1. Utilisez le partage de connexion (Point d'accès personnel) de votre téléphone plutôt que le Wi-Fi public : Dès que vous captez le réseau mobile, connectez votre ordinateur portable au partage de connexion de votre téléphone (protégé par chiffrement WPA3) plutôt qu'au Wi-Fi de l'hôtel ou du café. Les réseaux cellulaires utilisent une authentification cryptographique matérielle SIM/eSIM qui ne peut pas être facilement clonée par un routeur Evil Twin.
2. Gardez un VPN audité avec fonction Kill Switch activé : Si vous devez impérativement utiliser un Wi-Fi public (par exemple en avion ou dans une salle de conférence en sous-sol sans réseau mobile), activez un réseau privé virtuel (VPN) reconnu utilisant WireGuard ou OpenVPN avant d'ouvrir vos applications ou votre navigateur, et activez le Kill Switch (arrêt d'urgence) du VPN pour bloquer tout trafic si le tunnel chiffré se coupe.
3. Activez le DNS chiffré (DNS sur HTTPS ou DNS sur TLS) : Configurez votre navigateur et votre système d'exploitation pour utiliser un résolveur DNS chiffré (comme Cloudflare 1.1.1.1 ou Quad9 9.9.9.9) afin qu'un routeur Wi-Fi pirate ne puisse ni espionner ni falsifier les noms de domaine demandés par votre appareil ; notez qu'il faut parfois désactiver le DNS chiffré pendant 30 secondes pour afficher le portail captif légitime d'un hôtel avant de le réactiver immédiatement après.
4. Supprimez les réseaux Wi-Fi ouverts enregistrés et désactivez la connexion automatique : Effacez les anciens réseaux ouverts (Airport_Free_WiFi, Hotel_Guest, xfinitywifi) de votre liste de réseaux mémorisés, désactivez "Confirmer l'accès" et réglez le pare-feu de votre ordinateur portable en Mode Public / Furtif (en bloquant le partage de fichiers entrant, AirDrop sur "Tout le monde" et la découverte sur le réseau local).
5. Activez le Mode Isolement (Lockdown Mode) ou la Protection avancée si vous êtes une cible sensible : Les journalistes, dirigeants, avocats et militants voyageant dans des zones à haut risque devraient activer le Mode Isolement (sur les appareils Apple) ou la Protection avancée (sur Android/Google), qui désactive totalement les connexions de données par câble USB lorsque l'appareil est verrouillé.

Questions fréquemment posées¶

Un VPN me protège-t-il contre un réseau Wi-Fi Evil Twin ?¶

Un VPN fiable chiffre l'ensemble du trafic internet sortant de votre appareil afin que l'opérateur d'un Evil Twin ne puisse pas lire vos flux de données ni intercepter des connexions non chiffrées. En revanche, un VPN ne peut pas vous protéger si vous tapez vous-même votre mot de passe de messagerie ou votre numéro de carte bancaire sur une fausse page de portail captif avant l'établissement du tunnel VPN, ni empêcher l'écoute si vous installez manuellement un certificat racine pirate.

Comment savoir quel réseau Wi-Fi d'aéroport ou de café est le vrai ?¶

Il est impossible de vérifier l'authenticité d'un réseau Wi-Fi simplement en lisant son nom dans votre menu, car un pirate peut donner à son point d'accès Evil Twin exactement le même nom que le réseau officiel. Demandez toujours à un employé le nom exact du réseau et le mot de passe, évitez autant que possible les réseaux ouverts sans chiffrement WPA2/WPA3 et activez votre VPN dès la connexion établie.

Que faire si j'ai branché mon téléphone sur un port USB d'aéroport, vu "Faire confiance à cet ordinateur" et touché "Ne pas faire confiance" ?¶

Si vous avez touché "Ne pas faire confiance" (ou ignoré l'invite alors que votre écran était verrouillé) et débranché immédiatement votre téléphone, votre système d'exploitation a bloqué les lignes de données USB et empêché tout accès à votre stockage. Redémarrez simplement votre téléphone pour vider la mémoire temporaire du contrôleur USB et utilisez ensuite un chargeur secteur mural ou une batterie externe.

Est-il prudent de brancher mon téléphone sur le port USB d'une voiture de location ?¶

Les systèmes multimédias des voitures de location synchronisent automatiquement votre carnet d'adresses, votre journal d'appels, vos SMS et vos identifiants Bluetooth lorsque vous branchez votre téléphone sur le port USB de données du tableau de bord et accordez l'autorisation. Au lieu d'utiliser le port USB multimédia du véhicule, branchez un adaptateur allume-cigare 12 volts ou utilisez un bloqueur de données USB physique, et pensez à supprimer votre profil du système de bord avant de restituer le véhicule.

Guides connexes¶

• Phishing MFA et contournement par adversaire au milieu
• Réponse aux fuites de données et mots de passe compromis
• Travailler à distance en toute sécurité depuis un hôtel
• Arnaques dans les aéroports et sécurité dans les transports
• Numéros d'urgence dans le monde