Début août 2026, plusieurs médias ont relayé une série d’attaques contre des passerelles Wi-Fi d’hôtels et de centres de conférences, attribuées à un groupe lié au renseignement russe. Les victimes étaient redirigées vers de faux portails captifs, où elles saisissaient identifiants et données bancaires sans se douter de la supercherie.
Ces opérations d’espionnage illustrent un changement de nature des menaces sur les réseaux wifi publics : le problème ne se limite plus à un adolescent curieux interceptant des paquets dans un café.
Espionnage étatique sur Wi-Fi public : ce que révèlent les attaques de 2026
Les incidents documentés par BFMTV, SFR Actus et SecurityWeek en août 2026 partagent un scénario commun. Un acteur malveillant compromet la passerelle Wi-Fi d’un lieu public, puis substitue le portail de connexion légitime par une copie quasi identique. L’utilisateur, pressé de se connecter, saisit ses informations personnelles sur une page contrôlée par l’attaquant.
Ce qui distingue ces attaques des tentatives classiques, c’est leur attribution à un groupe lié aux services de renseignement russes. On ne parle plus de cybercriminels opportunistes cherchant à revendre des identifiants sur des forums. La cible, ici, ce sont les données de professionnels en déplacement, de diplomates, de journalistes.
La technique utilisée, la compromission directe de l’infrastructure réseau du lieu, rend les protections côté utilisateur partiellement inefficaces. Un VPN ne protège pas contre un faux portail captif si l’utilisateur y entre ses données avant même d’activer la connexion chiffrée.
Pourquoi un VPN ne suffit plus à sécuriser une connexion wifi publique
La recommandation standard depuis des années consiste à utiliser un réseau privé virtuel (VPN) pour chiffrer le trafic sur les réseaux wifi publics. Ce conseil reste valable pour protéger les données en transit, mais il repose sur une hypothèse fragile : que l’utilisateur active le VPN avant toute interaction avec le réseau.
En pratique, la séquence de connexion à un Wi-Fi public impose souvent de passer par un portail captif. Durant cette phase, le trafic circule en clair, sans protection VPN. C’est précisément cette fenêtre que les attaquants exploitent, en présentant un faux formulaire de connexion qui collecte identifiants, adresses e-mail ou numéros de téléphone.
Les limites du VPN ne s’arrêtent pas là :
- Un VPN ne vérifie pas l’authenticité du réseau auquel l’appareil se connecte. Un point d’accès malveillant portant le même nom que le réseau légitime de l’hôtel sera traité de la même façon.
- Certains VPN grand public conservent eux-mêmes des journaux de connexion, ce qui déplace le problème de confidentialité sans le résoudre.
- Sur les appareils mobiles, des applications peuvent transmettre des données avant que le tunnel VPN ne soit établi, notamment lors de la reconnexion automatique à un réseau connu.
Microsoft recommande désormais explicitement de préférer un hotspot personnel ou une connexion satellite plutôt que les réseaux publics pour les usages sensibles. Cette évolution marque un tournant par rapport au discours habituel qui se contentait de conseiller d’éviter les réseaux ouverts.
Obligations légales des lieux proposant un accès internet public
Les établissements qui fournissent un accès Wi-Fi à leurs clients (hôtels, restaurants, gares, médiathèques) sont soumis à des obligations de conservation des données de trafic. Selon la CNIL, ces responsables doivent conserver les informations techniques liées aux connexions : adresse IP de l’appareil, date, heure et durée de chaque session, données permettant d’identifier le destinataire d’une communication.
Ces obligations portent sur les données de trafic, pas sur le contenu des échanges. L’exploitant du réseau n’a pas le droit de surveiller les pages visitées ou les messages envoyés. En revanche, il doit être en mesure de fournir ces métadonnées aux autorités sur réquisition judiciaire.
Ce que cela change pour l’utilisateur
Le cadre légal protège partiellement la vie privée, mais il ne garantit pas la sécurité technique du réseau. Un hôtel peut respecter scrupuleusement ses obligations CNIL tout en exploitant une passerelle Wi-Fi vulnérable aux attaques décrites plus haut. Conformité réglementaire et sécurité réseau sont deux choses distinctes.
Les retours terrain divergent sur ce point : certains établissements investissent dans des solutions de sécurité réseau dédiées, d’autres se contentent du minimum réglementaire. Aucun label ou certification ne permet aujourd’hui à un voyageur de distinguer un Wi-Fi public correctement sécurisé d’un réseau vulnérable.
Alternatives concrètes au Wi-Fi public pour protéger ses données personnelles
La connexion la plus sûre reste celle que vous contrôlez. Le partage de connexion depuis un smartphone (hotspot personnel) utilise le réseau mobile de l’opérateur, avec un chiffrement de bout en bout entre l’appareil et l’antenne relais. Aucun portail captif, aucun intermédiaire réseau inconnu.
Pour les professionnels en déplacement fréquent, plusieurs approches réduisent l’exposition :
- Configurer le hotspot personnel avec un mot de passe robuste et un nom de réseau non identifiable (éviter « iPhone de Jean Dupont »).
- Désactiver la connexion automatique aux réseaux Wi-Fi connus sur tous les appareils. Cette fonction, pensée pour le confort, expose l’appareil à des points d’accès usurpant un nom de réseau familier.
- Privilégier les connexions HTTPS et vérifier la présence du cadenas dans la barre d’adresse, même en cas d’utilisation ponctuelle d’un réseau public.
- Sur un ordinateur portable, couper le Wi-Fi matériellement (interrupteur physique ou raccourci clavier) quand il n’est pas utilisé, plutôt que de compter sur la désactivation logicielle.
L’échéance réglementaire de septembre 2026
Un autre paramètre entre en jeu. Les produits connectés mis sur le marché après le 12 septembre 2026 devront, selon le Data Act européen, être conçus pour rendre les données générées facilement et sécurisément accessibles à l’utilisateur, sans frais lorsque c’est techniquement faisable. Ce principe d' »accès by design » pourrait, à terme, obliger les fabricants de routeurs et de bornes Wi-Fi à intégrer des mécanismes de transparence sur les données collectées lors d’une connexion.
Les données disponibles ne permettent pas encore de mesurer l’impact concret de cette obligation sur la sécurité des réseaux publics. La transposition pratique dépendra des guides d’application qui accompagneront le règlement.
Le Wi-Fi gratuit d’un hall de gare ou d’un lobby d’hôtel reste un service commode. Mais la nature des attaques documentées en 2026 montre que le risque a changé d’échelle. La question n’est plus de savoir si quelqu’un pourrait intercepter vos données sur un réseau ouvert, mais de constater que des acteurs disposant de moyens étatiques le font déjà, de manière ciblée et industrialisée.
