Portail captif malveillant

Définition

Un portail captif est la page d'accès qui s'ouvre automatiquement lorsqu'on rejoint certains réseaux publics. Sa version malveillante en reprend l'apparence pour obtenir des identifiants, un paiement ou l'installation d'un composant. C'est l'endroit où un faux point d'accès produit le plus souvent son effet, et le mécanisme est celui de l'hameçonnage — dans un contexte où l'on s'attend précisément à voir une page de connexion.

Comment ça fonctionne

Le contexte fait tout le travail. Vous venez de choisir un réseau, une page s'ouvre d'elle-même, elle porte le nom du lieu : la séquence est celle que vous attendez, et l'attente désarme l'examen. Le prétexte de la demande est ensuite calibré sur cette attente — « connectez-vous avec votre adresse électronique », « vérifiez votre identité », « une caution d'un euro sera débitée puis remboursée », « installez ce profil pour sécuriser votre connexion ». Chacune de ces demandes vise autre chose que l'accès : un couple adresse et mot de passe réutilisable ailleurs, un numéro de carte, ou un certificat qui permettra d'observer des connexions jusque-là protégées. La règle qui tranche est simple et tient en une phrase : un accès Wi-Fi n'a besoin ni du mot de passe de votre messagerie, ni de votre carte bancaire, ni d'installer quoi que ce soit sur votre appareil.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Page demandant une adresse électronique accompagnée de son mot de passe
• Demande de carte bancaire pour un accès annoncé comme gratuit, ou pour une « caution » remboursée
• Invitation à installer un profil, un certificat ou une application pour accéder au réseau
• Bouton « se connecter avec » un compte de réseau social ou de messagerie
• Page mal traduite, adresse sans rapport avec l'établissement, ou absence de connexion sécurisée
• Portail qui réapparaît en boucle et redemande les informations déjà saisies

Comment vérifier

Rapportez la demande à ce qu'elle prétend servir : donner accès à un réseau ne nécessite ni mot de passe de messagerie, ni moyen de paiement, ni installation. Regardez l'adresse de la page et la présence d'une connexion sécurisée. En cas de doute, demandez au personnel comment se fait l'accès chez eux — c'est la vérification décisive, et elle est immédiate.

Que faire

Ne saisissez jamais dans un portail captif un identifiant qui vous sert ailleurs. N'y payez rien et n'y installez rien. Si l'accès exige l'une de ces trois choses, renoncez au réseau et utilisez le partage de connexion de votre téléphone.

Si c'est déjà arrivé

Depuis un autre réseau, changez immédiatement le mot de passe saisi et celui de tous les comptes qui le réutilisent, en commençant par la messagerie, puis fermez les sessions ouvertes. Si vous avez communiqué une carte bancaire, contactez votre banque et faites opposition — une « caution d'un euro » sert à valider le numéro pour des débits ultérieurs. Si vous avez installé un profil ou un certificat, retirez-le dans les réglages de l'appareil. Signalez les faits sur cybermalveillance.gouv.fr.

Questions fréquentes

Certains vrais réseaux demandent bien une adresse électronique. Comment faire la différence ?

Une adresse seule, oui, cela se pratique. Le mot de passe qui va avec, jamais : un établissement n'a aucun usage de vos identifiants de messagerie, et aucun accès Wi-Fi n'en a besoin techniquement. C'est la présence du mot de passe, pas celle de l'adresse, qui tranche.

Et la caution d'un euro qui doit être remboursée ?

C'est un motif classique pour obtenir un numéro de carte valide. Le montant faible sert à rendre la demande acceptable ; ce qui est recherché est le numéro, utilisable ensuite pour de tout autres montants. Un accès Wi-Fi gratuit ne demande pas de carte bancaire.

Attaques liées

• Faux point d'accès Wi-Fi
• Phishing (hameçonnage)
• Attaque de l'homme du milieu
• Interception de trafic
• Faux site web
• Attaque par déauthentification

Sources officielles

• Cybermalveillance.gouv.fr — Hameçonnage (phishing)
• Cybermalveillance.gouv.fr — Assistance et signalement