Au-delà du pare-feu : comment la Russie cible le WiFi des hôtels et les élections allemandes dans une nouvelle offensive hybride

Les deux opérations reposent sur des tactiques différentes, mais obéissent à la même logique stratégique : éviter les défenses les plus solides et exploiter les espaces où les gouvernements et les entreprises occidentaux sont les plus difficiles à protéger.

Transformer le WiFi des hôtels en outil de renseignement

L'opération, connue sous le nom de « CaptiveCrunch », marque une nouvelle étape dans l'évolution de Midnight Blizzard, le groupe d'espionnage parrainé par l'État russe également suivi sous le nom de Storm-2945 et lié à NOBELIUM et Cozy Bear.

Au lieu de tenter de pénétrer des systèmes d'entreprise fortement protégés, le groupe s'est tourné vers quelque chose de bien moins sécurisé : les réseaux publics utilisés quotidiennement par les voyageurs d'affaires.

Selon Microsoft, les attaquants prennent le contrôle de pages de portail captif légitimes – les écrans que les utilisateurs rencontrent avant de se connecter au WiFi d'un hôtel ou d'une conférence. Une fois que les victimes saisissent leurs informations, les identifiants Microsoft 365 peuvent être volés avant que l'attaque ne passe à son étape suivante.

Cette deuxième étape repose moins sur la sophistication technique que sur la persuasion.

Les victimes sont invitées à installer ce qui semble être une mise à jour de routine de Windows ou du navigateur. En réalité, le téléchargement livre un logiciel malveillant qui établit discrètement un accès à long terme à l'appareil.

La campagne utilise deux outils principaux. Le cheval de Troie d'accès à distance CornFlake permet aux attaquants de maintenir un contrôle persistant, tandis que le voleur d'informations PowerShell ChocoShell est conçu pour récolter des identifiants, des cookies de session et des fichiers. Il peut également enregistrer les frappes clavier, activer les microphones et les caméras, et cibler les appareils Android.

Pour les services de renseignement, le vol immédiat de mots de passe n'est qu'une partie de la récompense.

Les comptes Microsoft 365 compromis peuvent fournir une voie d'accès à l'environnement cloud plus large d'une organisation, donnant aux attaquants un accès qui s'étend bien au-delà de l'ordinateur portable connecté au réseau de l'hôtel. Un employé peut quitter la conférence, retourner au travail et continuer à utiliser le même appareil, sans savoir que la surveillance est toujours en cours.

Cela fait du séjour à l'hôtel le début de l'opération plutôt que sa fin.

La nouvelle périphérie est partout

Pendant des années, la stratégie de cybersécurité s'est concentrée sur la défense des infrastructures d'entreprise contre les intrusions externes. À mesure que ces défenses sont devenues plus résilientes, les attaquants se sont adaptés.

CaptiveCrunch illustre ce changement. Au lieu d'affronter directement des réseaux durcis, les opérateurs russes ciblent les personnes qui se déplacent entre eux.

Les voyages d'affaires font désormais partie de la périphérie de sécurité de l'entreprise, même si les entreprises ont peu de contrôle sur l'infrastructure sur laquelle leurs employés comptent lorsqu'ils sont loin du bureau.

Cela change la nature de la cyberdéfense.

L'hypothèse traditionnelle – selon laquelle un utilisateur de confiance à l'intérieur du réseau est intrinsèquement moins risqué qu'une personne extérieure – devient de plus en plus difficile à maintenir. Les organisations sont plutôt poussées vers une vérification continue des utilisateurs et des appareils, quel que soit l'endroit où ils se connectent.

La campagne met également en évidence une réalité plus simple : les gens restent plus faciles à manipuler que des systèmes bien défendus.

Une mise à jour logicielle convaincante présentée au bon moment peut réaliser ce que des mois de sondage contre un pare-feu d'entreprise ne peuvent pas.

Les élections allemandes deviennent partie du même champ de bataille

La campagne cybernétique se déroule parallèlement à une autre opération russe qui cible une vulnérabilité différente : la confiance du public.

Les agences de sécurité allemandes affirment surveiller une campagne de désinformation élargie, connue sous le nom de « Matriochka » ou « Overload », avant les élections régionales de septembre à Berlin, en Saxe-Anhalt et en Mecklembourg-Poméranie-Occidentale. Alors que CaptiveCrunch cherche à accéder à l'information, Matriochka est conçue pour façonner l'environnement politique dans lequel cette information existe.

La campagne est organisée centralement depuis la Russie par l'intermédiaire de sociétés écrans spécialisées. Plus de 180 publications et vidéos fabriquées sont déjà apparues sur X, Bluesky et TikTok, selon des responsables allemands et des médias européens.

L'approche est familière, mais de plus en plus soignée.

Au lieu de s'appuyer sur des comptes de propagande anonymes, l'opération imite des organisations de presse de confiance. Les publications portent la marque de médias tels que la BBC, ARD, Deutsche Welle et la Frankfurter Allgemeine Zeitung, rendant les fausses histoires crédibles à première vue. Ces histoires accusent des politiciens des partis au pouvoir en Allemagne – CDU, SPD, Verts et FDP – d'infractions allant de la mauvaise conduite financière au harcèlement sexuel.

L'objectif est moins de convaincre les électeurs que chaque allégation est vraie que de créer un flux constant de doute autour des personnalités politiques dominantes.

Cette dynamique profite inévitablement à l'Alternative pour l'Allemagne (AfD), dont les dirigeants ont à plusieurs reprises plaidé pour le rétablissement des liens politiques avec Moscou.

Le moment n'est guère accidentel. Les élections régionales de septembre pourraient donner à l'AfD son meilleur résultat à ce jour, en particulier en Saxe-Anhalt, où le parti a une chance réaliste de diriger un gouvernement régional.

Pour les responsables européens, cela soulève des préoccupations qui dépassent largement la politique intérieure allemande.

Plus tôt cette année, des diplomates européens ont averti que la participation de l'AfD aux gouvernements régionaux pourrait créer de nouvelles opportunités pour le renseignement russe. Le système fédéral allemand donne aux administrations régionales accès à des documents sensibles de l'UE par le biais des structures législatives et gouvernementales, rendant les élections au niveau régional stratégiquement plus importantes qu'elles ne pourraient autrement paraître.

Deux campagnes, une stratégie

Vues indépendamment, un réseau WiFi d'hôtel piraté et une vidéo politique falsifiée ont peu en commun.

Vues ensemble, elles révèlent un schéma cohérent.

Plutôt que de tenter de submerger directement les institutions occidentales, le renseignement russe exploite les systèmes qui les relient. Les responsables en voyage dépendent de réseaux qu'ils ne contrôlent pas. Le débat démocratique dépend de plus en plus de plateformes de médias sociaux commerciales qui peinent à endiguer la désinformation coordonnée.

Ces espaces sont devenus attrayants précisément parce qu'ils se situent en dehors du périmètre de sécurité traditionnel.

Pénétrer dans le réseau d'un ministère est difficile. Compromettre l'ordinateur portable d'un diplomate séjournant dans un hôtel peut être considérablement plus facile. Manipuler le comptage des votes déclencherait probablement une crise politique immédiate ; inonder les médias sociaux de scandales fabriqués peut progressivement éroder la confiance sans jamais toucher l'infrastructure électorale elle-même.

Ce changement a brouillé l'ancienne distinction entre sécurité externe et interne.

Les réseaux d'entreprise s'étendent désormais dans les halls d'hôtel et les centres de conférence. Les élections régionales, autrefois considérées comme des affaires essentiellement intérieures, sont devenues une autre arène où se joue la compétition géopolitique.

Les défenses de l'Europe doivent s'adapter

Les responsables des ministères allemands de l'Intérieur et des Affaires étrangères affirment suivre activement la campagne Matriochka à l'approche des élections régionales. Leur réponse s'inscrit dans un débat plus large à Bruxelles sur la manière dont l'Europe devrait traiter les ingérences étrangères qui ne relèvent plus clairement ni de la cybersécurité ni du droit électoral.

Le Parlement européen a appelé à plusieurs reprises à une application plus stricte de la loi sur les services numériques, à un renforcement de la surveillance de la manipulation de l'information et de l'ingérence étrangères (FIMI) par le biais du Service européen pour l'action extérieure, et à l'élargissement des sanctions contre les outils utilisés dans les opérations hybrides. Ces propositions devraient alimenter les discussions autour du vingtième paquet de sanctions de l'UE.

La dimension cybernétique évolue tout aussi rapidement.

Protéger le siège d'une entreprise ne suffit plus si les employés travaillent régulièrement depuis les aéroports, les hôtels et les lieux de conférence. Les organisations sont de plus en plus incitées à construire une sécurité centrée sur l'utilisateur plutôt que sur le bureau, en s'appuyant sur une authentification multifacteur résistante au phishing, des connexions VPN chiffrées, des routeurs de voyage dédiés et des contrôles plus stricts des mises à jour logicielles en dehors des environnements gérés.

Midnight Blizzard a été lié à certaines des opérations d'espionnage russes les plus significatives de ces dernières années, y compris la compromission de SolarWinds. CaptiveCrunch pointe vers une évolution plus discrète de ce manuel. Au lieu de rechercher une brèche spectaculaire, le groupe semble privilégier d'innombrables interactions de routine qui attirent peu l'attention en elles-mêmes mais peuvent fournir un accès durable aux systèmes gouvernementaux et d'entreprise.

Le même principe sous-tend la campagne Matriochka.

Aucune des deux opérations ne dépend de l'attaque de la partie la plus forte du système. Toutes deux cherchent les interstices entre les institutions – le réseau d'hôtel auquel un responsable en voyage fait confiance, le fil d'actualité des médias sociaux auquel un électeur fait confiance, le logo de presse familier qui rend une histoire fabriquée authentique.