Depuis mai 2024, le Service de renseignement extérieur russe (SVR) orchestre une campagne de cyberespionnage d’une ampleur inédite. Baptisée CaptiveCrunch, l’opération cible les réseaux Wi-Fi publics des hôtels et centres de conférences pour dérober les identifiants Microsoft 365 des voyageurs d’affaires. L’attribution à Storm-2945, sous-cluster d’APT29/Midnight Blizzard, confirme la nature étatique de la menace. Plutôt que d’attaquer frontalement les organisations, Moscou privilégie désormais la compromission des infrastructures partagées, une tactique qui maximise l’impact tout en brouillant les pistes.
Storm-2945, le bras cyber du SVR russe en action
APT29/Midnight Blizzard : historique et objectifs stratégiques
APT29, également connu sous les noms de Midnight Blizzard ou Cozy Bear, opère depuis au moins 2008 pour le compte du SVR. Ses cibles privilégiées incluent les gouvernements, les ONG et les prestataires informatiques en Europe et en Amérique du Nord. L’objectif stratégique demeure constant : collecter du renseignement pour soutenir les intérêts de politique étrangère de la Fédération de Russie. Selon Microsoft Threat Intelligence, « les opérations de Midnight Blizzard conduisent souvent à la compromission de comptes valides et, dans des cas très ciblés, des techniques avancées pour compromettre les mécanismes d’authentification au sein d’une organisation afin d’élargir la surface d’attaque et éviter la détection ». Le groupe se distingue par sa sophistication technique et sa capacité d’adaptation face aux défenses adverses.
CaptiveCrunch : une escalade tactique de l’espionnage d’État
CaptiveCrunch représente une évolution majeure dans les méthodes d’APT29. Plutôt que de cibler directement les serveurs d’une organisation, Storm-2945 compromet les routeurs Wi-Fi publics pour intercepter les connexions des utilisateurs légitimes. La technique repose sur la manipulation des configurations DNS : le trafic HTTP est redirigé vers une infrastructure contrôlée par les attaquants. Les victimes se voient alors proposer de fausses mises à jour système (Windows, DirectX, Visual C++) qui dissimulent en réalité des malwares comme CornFlake RAT et ChocoShell. Depuis juillet 2026, les attaquants ont intégré le phishing par code d’appareil (device code phishing) à leur arsenal, permettant de contourner l’authentification multifacteur. ReliaQuest, société de cybersécurité, a initialement identifié ces modifications DNS sur des routeurs SOHO dans plusieurs villes américaines et à l’étranger.
Portée géopolitique et implications pour la défense occidentale
Ciblage systématique des secteurs critiques : finance, énergie, santé
Microsoft a identifié des compromissions généralisées affectant cinq secteurs stratégiques : services financiers, services professionnels, juridique, santé et énergie. Le commerce de détail figure également parmi les cibles. La portée géographique s’étend à plusieurs pays, témoignant d’une coordination opérationnelle de haut niveau. Les malwares déployés permettent la collecte de credentials, de tokens de session, de fichiers sensibles, de frappes clavier, voire de flux audio et vidéo. L’accès shell distant offre aux opérateurs du SVR un contrôle total sur les machines infectées. Pour les démocraties occidentales, la menace cyber s’ajoute aux défis technologiques posés par les adversaires stratégiques.
Diluer la responsabilité : pourquoi cibler l’infrastructure hôtelière plutôt que les organisations
Le choix de compromettre les réseaux captive portal des hôtels plutôt que les serveurs d’entreprise relève d’un calcul stratégique. En attaquant une infrastructure tierce, le SVR complique l’attribution et dilue la responsabilité juridique. Les victimes ne peuvent pas directement accuser leurs employeurs de négligence sécuritaire. Les hôtels, rarement équipés de défenses cyber avancées, constituent des cibles faciles. De plus, la concentration de voyageurs d’affaires issus de secteurs sensibles dans ces lieux offre un ratio coût-bénéfice exceptionnel. Une seule compromission de routeur peut exposer des dizaines, voire des centaines de comptes professionnels.
Contexte géopolitique : tensions russo-occidentales et cyberguerre
L’opération CaptiveCrunch s’inscrit dans un contexte de tensions russo-occidentales exacerbées. Depuis l’invasion de l’Ukraine en 2022, les cyberattaques russes contre les infrastructures critiques occidentales se sont multipliées. Le SVR, contrairement au GRU (renseignement militaire), privilégie l’espionnage discret au sabotage spectaculaire. CaptiveCrunch illustre parfaitement la doctrine russe : collecter massivement du renseignement pour préparer d’éventuelles opérations futures, tout en maintenant un déni plausible. La dépendance croissante des organisations aux services cloud comme Microsoft 365 offre aux services de renseignement adverses des opportunités inédites. Chaque identifiant dérobé ouvre potentiellement l’accès à des milliers de documents sensibles.
Implications pour la cyberdéfense gouvernementale et organisationnelle
Risques pour les gouvernements, ONG et prestataires IT critiques
Les gouvernements occidentaux, les ONG travaillant sur des dossiers sensibles (droits de l’homme, géopolitique) et les prestataires IT critiques figurent parmi les cibles prioritaires d’APT29. Un identifiant Microsoft 365 compromis peut donner accès aux emails, OneDrive, SharePoint et Teams d’une organisation entière. Les informations dérobées peuvent servir à préparer des opérations d’influence, à identifier des sources humaines ou à anticiper les décisions stratégiques adverses. Pour les entreprises de défense et leurs sous-traitants, la menace est particulièrement aiguë. Les voyageurs d’affaires constituent des vecteurs d’infection privilégiés : ils se connectent fréquemment à des réseaux non sécurisés et transportent des données sensibles sur leurs appareils.
Contournement de l’authentification multifacteur : une menace pour les défenses actuelles
Le phishing par code d’appareil représente une évolution préoccupante. Lorsqu’un utilisateur tente de s’authentifier sur un réseau compromis, Storm-2945 le redirige vers un flux d’authentification par code d’appareil. La victime reçoit un code à saisir, croyant effectuer une authentification légitime. En réalité, les attaquants récupèrent le token d’accès valide, contournant ainsi l’authentification multifacteur. Microsoft a observé ces redirections pendant au moins deux semaines avant de publier son alerte. Les organisations ayant implémenté MFA sans configuration spécifique du flux device code se retrouvent vulnérables.
Réponses et mesures de protection au niveau stratégique
Recommandations Microsoft et coordination internationale
Microsoft préconise plusieurs mesures défensives immédiates. Les organisations doivent auditer leurs politiques Entra ID (anciennement Azure AD) pour désactiver ou restreindre le flux device code. Les administrateurs doivent surveiller les tentatives d’authentification inhabituelles, notamment depuis des adresses IP associées à des réseaux hôteliers. Les voyageurs d’affaires doivent privilégier les connexions VPN d’entreprise ou les hotspots personnels plutôt que les réseaux Wi-Fi publics. L’alerte publiée vendredi dernier par Microsoft Threat Intelligence appelle également à une coordination internationale renforcée. Les agences de renseignement occidentales doivent partager les indicateurs de compromission (IoCs) et les signatures des malwares CornFlake et ChocoShell pour améliorer la détection collective.
