Un collaborateur en déplacement ouvre son ordinateur portable dans le hall d’un hôtel, se connecte au wifi gratuit et lance sa messagerie professionnelle. En quelques secondes, ses identifiants Microsoft 365 peuvent être captés par un tiers présent sur le même réseau. Les risques liés aux réseaux wifi publics en entreprise dépassent aujourd’hui le simple vol de mot de passe : ils touchent les sessions applicatives cloud, la conformité RGPD et l’intégrité du système d’information.
Détournement de sessions SaaS : la menace que le wifi public rend possible
Les analyses récentes de sécurité décrivent un scénario précis. Un attaquant positionné sur un wifi d’hôtel compromis intercepte non pas un mot de passe, mais un jeton d’authentification de session Microsoft 365. Ce jeton permet d’accéder au compte sans jamais passer par l’écran de connexion, et dans certains cas, de contourner l’authentification multifacteur (MFA).
A lire en complément : Les ransomwares ciblent de plus en plus les PME belges
Ce type d’attaque repose sur la technique dite « man-in-the-middle », mais sa cible a changé. Là où les guides de sécurité classiques parlent encore d’interception de formulaires de connexion, les attaques récentes visent les cookies de session des applications cloud. Un cookie volé donne un accès silencieux, parfois pendant plusieurs heures, à l’ensemble des données de la messagerie, du stockage en ligne et des outils collaboratifs.
L’entreprise ne détecte rien en temps réel. Le collaborateur, lui, continue de travailler normalement. La compromission ne sera visible qu’au moment d’un audit ou d’un comportement anormal signalé par un outil de supervision.
A lire également : Le phishing évolue avec des méthodes de plus en plus sophistiquées
Collecte de données et conformité RGPD : un angle rarement traité
Les risques des réseaux wifi publics ne sont pas uniquement techniques. Certains hotspots enregistrent des métadonnées sur les appareils connectés : adresse MAC, horaires de connexion, localisation approximative, paramètres système. Ces données sont parfois exploitées à des fins commerciales par l’opérateur du point d’accès.
Pour une entreprise, cette collecte pose un problème de conformité. Si un terminal professionnel contenant des données clients se connecte à un réseau qui enregistre des informations d’identification, la responsabilité au regard du RGPD peut être engagée, même si la fuite ne provient pas directement de l’entreprise. Le simple fait de ne pas avoir encadré l’usage du wifi public dans une politique interne constitue une faiblesse documentaire en cas de contrôle.
Les retours terrain divergent sur ce point : certaines PME considèrent que le VPN suffit à couvrir ce risque, d’autres estiment qu’une charte d’utilisation des réseaux extérieurs est indispensable. Les données disponibles ne permettent pas de trancher sur le niveau de risque juridique réel, mais la tendance réglementaire pousse clairement vers plus de formalisme.
Wifi invité en entreprise : quand le réseau interne devient le maillon faible
Le wifi public ne concerne pas uniquement les cafés et les aéroports. Beaucoup d’entreprises proposent un réseau wifi invité à leurs visiteurs, prestataires ou stagiaires. Si ce réseau n’est pas correctement isolé du réseau interne, il devient un vecteur d’attaque directe.
Les recommandations techniques actuelles convergent vers trois mesures structurantes :
- La segmentation par VLAN, qui crée une séparation logique entre le réseau invité et le réseau de production, empêchant tout trafic latéral
- L’authentification 802.1X, qui impose une identification individuelle de chaque appareil avant l’accès au réseau, y compris pour les connexions wifi
- Le passage au protocole WPA3, qui renforce le chiffrement de chaque session et limite les possibilités d’écoute passive entre appareils connectés au même point d’accès
Un wifi invité traité comme un simple « accès internet de courtoisie » sans isolation représente, en pratique, un point d’entrée sur le LAN interne de l’entreprise. Ce risque est d’autant plus élevé que l’accès invité est rarement supervisé par les équipes informatiques au quotidien.
Protéger les terminaux nomades : les défenses à configurer par défaut
La sensibilisation des collaborateurs ne suffit pas à réduire l’exposition au wifi public. Les politiques de sécurité les plus efficaces reposent sur des configurations appliquées directement sur les terminaux, avant même que l’utilisateur ne se connecte.
Les mesures recommandées incluent :
- Le VPN en tunnel complet activé automatiquement dès qu’une connexion wifi non référencée est détectée
- La désactivation du partage de fichiers et de la découverte réseau sur les profils wifi publics
- La suppression de la connexion automatique aux réseaux déjà utilisés, pour éviter qu’un terminal se reconnecte à un faux point d’accès portant le même nom
- L’utilisation d’un DNS chiffré (DoH ou DoT) pour empêcher la redirection vers des sites frauduleux via manipulation DNS
Ces paramètres peuvent être déployés via un outil de gestion de flotte (MDM) et appliqués sans intervention de l’utilisateur. En revanche, leur mise en place suppose que l’entreprise dispose d’une politique formalisée sur les usages autorisés hors site, ce qui reste minoritaire dans les structures de moins de cinquante postes.
Faux réseaux wifi : une attaque accessible sans compétence avancée
Créer un faux point d’accès wifi portant le nom d’un réseau légitime (celui d’un hôtel, d’un espace de coworking ou d’une gare) ne demande qu’un ordinateur portable et un logiciel disponible librement. L’appareil de la victime s’y connecte automatiquement si le nom du réseau figure dans sa liste de réseaux mémorisés.
Une fois connecté au faux réseau, tout le trafic non chiffré transite par la machine de l’attaquant. Les requêtes DNS, les échanges sur des sites sans HTTPS, les connexions à des applications internes mal configurées deviennent lisibles. Ce scénario ne nécessite ni vulnérabilité logicielle ni accès physique à l’infrastructure du lieu.
La parade la plus directe reste la suppression systématique des réseaux wifi enregistrés après chaque utilisation, combinée à l’obligation de VPN. Ces deux mesures réduisent la surface d’attaque de façon significative, même face à un réseau frauduleux bien imité.
La sécurité du wifi en contexte professionnel ne se limite plus à un conseil de prudence adressé aux voyageurs d’affaires. Elle implique des choix d’architecture réseau, des configurations imposées sur les terminaux et une prise en compte du cadre réglementaire sur les données personnelles. Les entreprises qui traitent le sujet uniquement par la sensibilisation laissent ouvertes des brèches que les attaquants exploitent de façon routinière.
