Le Wi-Fi gratuit des hôtels, aéroports, cafés ou espaces de coworking reste une commodité très appréciée des utilisateurs comme des professionnels en déplacement. Ça économise des données, ça connecte vite, ça maintient une certaine continuité de travail hors du bureau. Mais cette habitude cache un risque souvent sous-estimé : perdre le contrôle du canal par lequel transite l’information.

Le scénario le plus connu est l’attaque Man in the Middle (MITM), où un attaquant parvient à se placer entre l’appareil de la victime et le service légitime qu’elle tente de joindre. Depuis cette position, il peut observer, capturer ou modifier les communications sans que l’utilisateur remarque quoi que ce soit d’anormal. La page se charge, l’application répond, la connexion paraît normale. Cette normalité apparente fait justement partie du problème.

Contexte et enjeux : ce qui se passe lors d’une attaque Man in the Middle

Dans une communication normale, l’appareil de l’utilisateur établit une connexion avec un serveur : un site web, une messagerie, une application d’entreprise, une plateforme bancaire. Lors d’une attaque MITM, l’attaquant s’intercale dans ce flux, en contrôlant un faux point d’accès Wi-Fi, en manipulant la résolution DNS, en exploitant des configurations faibles sur un réseau local, ou en profitant d’appareils et de navigateurs obsolètes.

Sur les réseaux publics, le scénario le plus simple reste le point d’accès malveillant : l’attaquant crée un réseau au nom proche de celui du réseau légitime de l’hôtel, de l’aéroport ou du café. L’utilisateur croit se connecter au Wi-Fi officiel, mais son trafic transite en réalité par une infrastructure contrôlée par un tiers. Il existe aussi des techniques plus poussées en réseau local, comme l’ARP spoofing, la manipulation DNS ou les tentatives de dégrader les connexions sécurisées. Dans des environnements d’entreprise mal segmentés, un attaquant ayant accès au LAN peut essayer de rediriger le trafic interne, de capturer des identifiants ou de s’insérer dans la communication entre appareils et services.

Les objectifs varient : lire des informations, voler des identifiants, capturer des cookies de session, modifier des réponses, rediriger vers des pages falsifiées ou altérer le contenu en transit. Quand la victime utilise des comptes d’entreprise, l’impact dépasse largement l’appareil touché.

Les faits : pourquoi HTTPS aide sans tout résoudre

L’usage de HTTPS a fortement réduit l’exposition aux attaques MITM classiques. Quand un site utilise TLS correctement, la communication entre navigateur et serveur est chiffrée et authentifiée, ce qui complique la lecture ou la modification du contenu par un tiers. HTTPS n’élimine pourtant pas tous les risques. Si l’utilisateur ignore un avertissement de certificat, installe un profil non fiable, tombe sur un domaine falsifié ou utilise une application qui valide mal ses certificats, l’attaquant garde des ouvertures. Et le chiffrement ne protège pas contre une page de phishing bien faite si la victime tape volontairement ses identifiants sur un site frauduleux.

La vérification ne devrait donc pas se limiter à regarder si le cadenas apparaît. Il faut s’assurer que le domaine est exact, que la page commence bien par https://, qu’aucun avertissement du navigateur ne s’affiche, et éviter de saisir des données sensibles sur des sites ouverts via des liens suspects. Dans un cadre professionnel, la protection doit dépasser le navigateur : applications internes, API, clients de messagerie, VPN d’entreprise et outils SaaS doivent valider les certificats strictement, sans configurations qui acceptent des connexions non sécurisées par commodité.

Mesures concrètes pour les utilisateurs et les entreprises

Pour les utilisateurs en déplacement, la première ligne de défense consiste à éviter les réseaux publics pour les opérations sensibles. Banque en ligne, messagerie professionnelle, interfaces d’administration, signature de documents ou échange d’informations confidentielles devraient passer par des données mobiles, un réseau de confiance ou un VPN fiable. Le VPN ne rend pas sécurisé un réseau qui ne l’est pas, mais il réduit nettement l’exposition en chiffrant le trafic entre l’appareil et le point de sortie du service. Évitez cela dit les VPN gratuits d’origine douteuse : si le fournisseur n’est pas fiable, le problème se déplace simplement du réseau public vers le prestataire.

Autres réflexes utiles : désactiver la connexion automatique aux réseaux ouverts, oublier ceux qui ne servent plus, maintenir système et navigateur à jour, activer la vérification en deux étapes et utiliser un gestionnaire de mots de passe, qui aide justement à repérer les faux domaines puisqu’il ne remplit pas les identifiants si l’URL ne correspond pas au site légitime.

Pour les entreprises, l’approche doit être plus globale : il ne suffit pas de demander aux employés d’être prudents. Il faut fournir un VPN d’entreprise, une authentification multifactorielle, des politiques d’accès conditionnel, une détection et réponse améliorées (EDR), une configuration sécurisée des appareils et une formation claire sur l’usage des réseaux publics — un travail qui relève d’une vision d’ensemble de la sécurité, plutôt que de mesures isolées, comme le rappellent les quatre menaces identifiées par Gartner à l’ère de l’IA.

Les établissements qui offrent du Wi-Fi à leurs clients doivent aussi séparer le réseau invité du réseau interne. Le réseau public ne devrait donner aucune visibilité sur les systèmes de gestion, la caisse, les imprimantes, les serveurs ou les équipements administratifs. Segmentation, isolation des clients, WPA2 ou WPA3, mots de passe complexes et configuration soignée du routeur réduisent déjà une bonne partie des risques.

Analyse et implications : la confiance excessive, premier facteur de risque

Les attaques Man in the Middle fonctionnent parce qu’elles exploitent une confiance accordée souvent trop vite. On fait confiance à un réseau qui porte le nom de l’hôtel, à une page qui se charge, à l’absence d’alerte du navigateur, à une connexion gratuite dont on pense qu’elle n’a pas de coût caché. Cette confiance excessive reste le point faible principal, et elle augmente en été : on travaille depuis d’autres lieux, on connecte plus d’appareils hors du domicile, on mélange usages personnels et professionnels. Autant d’occasions supplémentaires pour les attaquants. Il ne s’agit d’ailleurs pas forcément d’attaquants au profil spécialisé ou organisé : les profils derrière une intrusion sont souvent plus variés qu’on ne l’imagine.

Perspectives

Le MITM n’a rien d’une menace nouvelle, mais il reste pertinent parce qu’il exploite un fait quotidien : se connecter à un réseau qu’on ne contrôle pas pour effectuer des tâches sensibles. La solution consiste à réduire cette surface d’exposition, à appliquer le chiffrement de bout en bout quand c’est possible, et à traiter tout réseau public comme un environnement non fiable par défaut. La cybersécurité en mobilité commence avant même d’ouvrir un email ou de visiter un site : elle débute au moment où l’on choisit le réseau.

Questions fréquentes

Qu’est-ce qu’une attaque Man in the Middle ?

Une attaque où un tiers se place entre l’utilisateur et le service légitime pour intercepter, lire ou modifier la communication, sans que la victime en ait nécessairement conscience.

HTTPS évite-t-il les attaques MITM ?

Il réduit fortement le risque quand la mise en œuvre est correcte et que l’utilisateur ne passe pas outre les avertissements de sécurité. Il ne protège en revanche pas contre les réseaux falsifiés, le phishing, les domaines frauduleux ou les mauvaises pratiques applicatives.

Que doivent faire les entreprises pour réduire les risques ?

Fournir un VPN d’entreprise, une authentification multifactorielle, maintenir les appareils à jour, segmenter les réseaux, appliquer des accès conditionnels, former les employés et séparer clairement réseaux internes et invités.