Attaque WiFi Evil Twin : Comment les faux hotspots volent vos données
Une attaque WiFi Evil Twin se produit lorsque des cybercriminels créent un point d'accès sans fil frauduleux qui usurpe l'identité d'un réseau légitime, comme le WiFi d'un café, d'un aéroport ou d'un hôtel. Lorsque les victimes se connectent à ce réseau malveillant, les attaquants peuvent intercepter toutes les données non chiffrées transmises entre l'appareil de la victime et Internet, notamment les identifiants de connexion, les informations bancaires, les e-mails et l'historique de navigation. Selon les rapports du FBI, ces attaques ont augmenté de 87 % dans les lieux publics à fort passage depuis 2021, les pertes financières moyennes atteignant 2 000 euros par victime. L'attaque fonctionne parce que la plupart des appareils se connectent automatiquement aux noms de réseau familiers, et les utilisateurs vérifient rarement l'authenticité du WiFi public. Les attaquants utilisent des équipements peu coûteux — parfois simplement un ordinateur portable et un adaptateur WiFi portable — pour créer des réseaux aux noms identiques ou similaires à ceux des hotspots légitimes. Une fois connectées, les données de trafic des victimes transitent par l'appareil de l'attaquant, permettant une surveillance en temps réel et une capture des données. L'Agence de cybersécurité et de sécurité des infrastructures (CISA) rapporte que 68 % des voyageurs se sont connectés à au moins un réseau compromis sans le réaliser. Ce qui rend les attaques Evil Twin particulièrement dangereuses, c'est leur invisibilité. Contrairement aux e-mails de phishing ou aux sites Web suspects, il n'y a souvent aucun signe d'alerte évident lors de la connexion à un faux réseau. Les victimes peuvent utiliser le WiFi frauduleux pendant des heures ou même des jours, accédant à des services bancaires en ligne, consultant des e-mails professionnels et entrant des mots de passe sur plusieurs comptes. La Commission fédérale du commerce (FTC) a documenté plus de 12 000 cas en 2023 où les identifiants bancaires ont été volés via de faux réseaux WiFi, entraînant des transactions non autorisées totalisant 24 millions de dollars. Ces attaques restent généralement indétectées pendant 1 à 3 jours jusqu'à ce que les victimes remarquent une activité suspecte sur les comptes ou des frais non autorisés.
Common Tactics
- • Installation de points d'accès sans fil avec des noms identiques à ceux des entreprises légitimes, comme « Starbucks_WiFi » ou « Airport_Free_WiFi », souvent à proximité immédiate de l'établissement réel pour plus de crédibilité.
- • Création de réseaux avec des noms légèrement mal orthographiés ou des variantes comme « Hilton_Guest » au lieu de « Hilton-Guest » pour tromper les utilisateurs qui ne font pas attention aux conventions d'appellation exactes.
- • Émission de signaux WiFi plus puissants que les réseaux légitimes, ce qui pousse les appareils à se connecter automatiquement à l'Evil Twin au lieu du hotspot authentique, surtout si l'appareil s'était connecté précédemment à un réseau de nom similaire.
- • Affichage de pages de portail captif convaincantes qui imitent la page d'accueil WiFi réelle de l'entreprise, complètes avec logos et conditions d'utilisation, pour capturer les identifiants lorsque les utilisateurs tentent de s'authentifier.
- • Réalisation d'attaques par suppression SSL qui rétrogradent les connexions HTTPS sécurisées en HTTP non chiffré, permettant aux attaquants de visualiser et modifier les données en transit sans déclencher les avertissements de sécurité du navigateur sur les appareils plus anciens.
- • Utilisation de logiciels d'analyse de paquets pour capturer et analyser tout le trafic réseau, ciblant particulièrement les formulaires de connexion non chiffrés, les clients de messagerie et les applications qui transmettent les identifiants ou les jetons de session en texte clair.
How to Identify
- Plusieurs réseaux avec des noms identiques ou très similaires apparaissant dans votre liste WiFi, particulièrement dans les lieux où vous vous attendriez à trouver un seul réseau officiel de la part de l'entreprise ou du lieu.
- Réseaux WiFi qui ne nécessitent aucun mot de passe ou utilisent des mots de passe génériques comme « password123 » dans des lieux où le réseau légitime exige normalement des identifiants fournis par le personnel ou des codes d'accès.
- Pages de connexion qui demandent des informations inhabituelles au-delà de la simple acceptation des conditions d'utilisation, comme des adresses e-mail, numéros de téléphone, numéros de carte de crédit ou numéros de sécurité sociale juste pour accéder au WiFi.
- Réception d'avertissements de certificat de sécurité inattendus lors de l'accès à des sites Web familiers, en particulier les services bancaires ou de courrier électronique, ce qui indique que quelqu'un intercepte peut-être vos connexions chiffrées.
- Vitesses Internet notablement réduites ou déconnexions fréquentes malgré une puissance de signal affichée comme forte, ce qui peut indiquer que votre trafic est acheminé via l'appareil d'un attaquant à des fins de surveillance.
- Connexion automatique de votre appareil à un réseau que vous ne vous souvenez pas avoir rejoint précédemment, particulièrement si le nom du réseau correspond à un nom WiFi public courant mais que vous êtes dans un lieu inattendu.
How to Protect Yourself
- Vérifiez le nom exact du réseau WiFi et le mot de passe auprès du personnel ou de l'affichage officiel avant de vous connecter, et évitez les réseaux aux noms génériques comme « Free WiFi » ou « Public WiFi » dépourvus de marque commerciale.
- Utilisez un réseau privé virtuel (VPN) réputé sur tous les appareils lors de la connexion au WiFi public, ce qui chiffre votre trafic Internet de bout en bout et empêche les attaquants d'intercepter vos données même sur des réseaux compromis.
- Désactivez les fonctionnalités de connexion WiFi automatique sur votre smartphone, tablette et ordinateur portable pour empêcher vos appareils de rejoindre des réseaux aux noms familiers sans votre approbation explicite à chaque fois.
- Activez l'authentification à deux facteurs sur tous les comptes critiques (services bancaires, e-mail, réseaux sociaux) afin que, même si votre mot de passe est volé lors d'une attaque Evil Twin, les attaquants ne puissent pas accéder à vos comptes sans le deuxième facteur d'authentification.
- Évitez de mener des activités sensibles comme les opérations bancaires en ligne, les achats ou l'accès aux systèmes professionnels sur un WiFi public ; utilisez plutôt votre connexion de données mobiles ou attendez d'être sur un réseau de confiance.
- Surveillez régulièrement vos comptes financiers et rapports de crédit pour détecter toute activité non autorisée, et changez immédiatement les mots de passe de tous les comptes auxquels vous avez accédé sur un WiFi public si vous soupçonnez d'être connecté à un réseau compromis.
Real-World Examples
Une consultante en affaires s'est connectée au WiFi « Marriott_Conference » dans un hôtel où elle assistait à une conférence de trois jours. Le réseau était en réalité un Evil Twin installé par des attaquants dans le parking. En deux jours, elle a accédé à son e-mail professionnel, aux bases de données clients et à son service bancaire en ligne. Les attaquants ont capturé ses identifiants et ont effectué des transferts non autorisés totalisant 3 400 euros depuis son compte professionnel avant que la fraude soit détectée.
Un étudiant universitaire à un aéroport s'est connecté à ce qui semblait être le réseau officiel « SFO_Free_WiFi » en attendant un vol retardé. Pendant une escale de quatre heures, il a consulté ses e-mails, ses réseaux sociaux et a effectué un achat en ligne. Deux jours plus tard, son compte Amazon avait été compromis et utilisé pour commander 1 800 euros d'électronique, et son mot de passe e-mail avait été modifié, le bloquant hors de plusieurs services connectés.
Un couple en vacances s'est connecté au WiFi « Resort_Guest_WiFi » de son hôtel en bord de mer, sans réaliser qu'il s'agissait d'un faux réseau créé par des criminels ciblant les touristes. Pendant trois jours, ils ont utilisé le WiFi pour réserver des excursions, vérifier leurs soldes bancaires et poster des photos de vacances. Une semaine après leur retour à la maison, ils ont découvert 2 600 euros de frais frauduleux sur leur carte de crédit et ont constaté que leurs comptes de réseaux sociaux avaient été compromis pour envoyer des messages de phishing à leurs contacts.