Vous ouvrez votre ordinateur portable dans un café, un hôtel ou une gare. Le réseau wifi s’affiche, la connexion se fait en deux clics, sans mot de passe. Pratique. Le problème, c’est que cette facilité d’accès est exactement la même pour une personne mal intentionnée assise à la table d’à côté.
Les réseaux wifi publics exposent vos données sensibles à plusieurs types d’attaques, dont certaines ne ressemblent pas du tout à ce que la plupart des utilisateurs imaginent. Comprendre ces mécanismes permet de continuer à se connecter en déplacement, mais en prenant les bonnes précautions.
Lire également : L'authentification à double facteur freine l'usurpation d'identité
Portails captifs frauduleux : la menace la moins visible sur un wifi public
Quand vous vous connectez à un réseau public, une page s’affiche souvent pour accepter des conditions ou saisir un e-mail. C’est un portail captif. La plupart des gens cliquent sans réfléchir, parce que cette étape semble normale.
Un attaquant peut créer un réseau wifi qui porte le même nom que celui du lieu (le café, l’hôtel, l’aéroport) et y associer un faux portail captif imitant une page de connexion légitime. L’utilisateur entre alors son adresse e-mail, parfois un mot de passe, directement sur une page contrôlée par l’attaquant.
A lire en complément : La sauvegarde régulière protège des pertes de données critiques
Ce type de piège va plus loin que la simple écoute passive du trafic. Le portail frauduleux peut aussi demander d’installer une application ou d’accepter un certificat de sécurité. Accepter revient à donner un accès élargi à votre appareil, sans en avoir conscience.
Vous avez déjà remarqué que certains réseaux publics portent des noms très proches, comme « Wifi_Hotel » et « Wifi-Hotel-Gratuit » ? Le second pourrait être un point d’accès piégé. Avant de vous connecter, demandez au personnel le nom exact du réseau et vérifiez qu’il correspond caractère par caractère.
Ce que le chiffrement HTTPS protège (et ce qu’il ne protège pas) sur un réseau public
Une idée répandue veut que tout wifi public soit une passoire. La réalité est plus nuancée. Les sites et applications qui utilisent HTTPS chiffrent les échanges entre votre appareil et le serveur. Même sur un réseau ouvert, une personne qui intercepte le trafic ne verra pas le contenu de vos messages ou vos identifiants bancaires si le site utilise ce protocole.
Le cadenas dans la barre d’adresse de votre navigateur indique que la connexion est chiffrée. Tant qu’il est présent, le risque d’interception directe du contenu reste faible.
Là où HTTPS ne suffit plus
Le chiffrement protège le contenu, pas le contexte. Sur un réseau wifi public, un attaquant peut tout de même voir :
- Les noms de domaine que vous visitez (l’adresse du site, pas la page précise), ce qui suffit à dresser un profil de navigation
- Les requêtes DNS, c’est-à-dire les demandes de traduction entre un nom de site et son adresse technique, qui peuvent être détournées vers un faux site (DNS spoofing)
- Les métadonnées de connexion : horodatage, volume de données, fréquence des échanges avec un service donné
Le DNS spoofing redirige votre navigateur vers un site frauduleux sans que l’adresse affichée change. Vous pensez être sur le site de votre banque, mais la page est une copie hébergée par l’attaquant. Cette technique exploite le réseau local, pas une faille du site lui-même.
Partage local et services exposés : l’angle mort des appareils connectés
Chez vous, le partage de fichiers entre appareils sur le même réseau est une fonction pratique. Sur un wifi public, ce même mécanisme devient une porte ouverte. Les services de partage local restent actifs par défaut sur la plupart des appareils, et ils deviennent accessibles à tous les utilisateurs du même réseau.
Un appareil avec le partage de fichiers activé peut exposer des dossiers, des imprimantes partagées ou des ports de communication utilisés par des applications. Un attaquant sur le même réseau peut scanner ces services et tenter d’y accéder.
Comment vérifier les paramètres de partage
Sur Windows, la fonction « Réseau public » désactive normalement la découverte réseau et le partage de fichiers. Encore faut-il que le profil réseau soit bien configuré sur « Public » et non « Privé » au moment de la connexion. Sur macOS, il suffit de décocher toutes les options de partage dans les préférences système avant de rejoindre un réseau ouvert.
Sur un téléphone, désactivez le Bluetooth et le wifi automatique quand vous ne les utilisez pas. Un smartphone qui cherche en permanence des réseaux connus diffuse des informations exploitables, comme le nom des réseaux auxquels il s’est connecté par le passé.
Protéger ses données sensibles sur un wifi public : les réflexes qui comptent
La meilleure protection reste de réduire la surface d’exposition. Tous les conseils ne se valent pas, et certains ont un impact bien plus grand que d’autres.
- Utiliser un VPN qui chiffre l’intégralité du trafic sortant, y compris les requêtes DNS. Le trafic devient illisible pour quiconque écoute le réseau local
- Privilégier le partage de connexion depuis votre téléphone plutôt que le wifi public pour toute opération sensible (banque, messagerie professionnelle, achats en ligne)
- Désactiver la connexion wifi automatique : votre appareil ne doit pas se connecter seul à un réseau ouvert sans votre validation explicite
- Vérifier systématiquement la présence du cadenas HTTPS avant de saisir un mot de passe ou un numéro de carte
- Maintenir votre système d’exploitation et votre navigateur à jour, car les mises à jour corrigent régulièrement des vulnérabilités exploitables sur un réseau local
Le VPN est souvent présenté comme la solution unique. Il protège effectivement contre l’écoute passive et le détournement DNS, mais il ne vous protège pas si vous saisissez vos identifiants sur un faux portail captif. La vigilance sur les pages de connexion initiales reste la première ligne de défense.
Le wifi public n’est pas à éviter en toutes circonstances. Consulter un article de presse ou une carte ne présente pas le même niveau de risque que se connecter à sa banque en ligne. Adapter son comportement au type de données manipulées reste la précaution la plus efficace, avec ou sans VPN.
