Vous êtes attablé dans un café, votre smartphone se connecte automatiquement au réseau « WiFi_Gratuit_Café ». Les pages s’affichent, tout semble normal. Le problème, c’est que ce réseau Wi-Fi public n’offre pas les mêmes garanties de sécurité que votre connexion domestique, et les techniques d’attaque ont évolué ces dernières années.
Ce que le chiffrement HTTPS a changé pour les réseaux Wi-Fi publics
Avant de dresser la liste des dangers, il faut poser un constat que beaucoup d’articles omettent. La généralisation du protocole HTTPS a profondément modifié le niveau de risque réel sur un Wi-Fi public.
Quand vous visitez un site dont l’adresse commence par « https:// », les données échangées entre votre appareil et le serveur sont chiffrées. Même si quelqu’un intercepte le trafic sur le réseau, il ne voit qu’un flux illisible. La majorité des sites web et des applications mobiles utilisent désormais ce chiffrement par défaut.
Plusieurs autorités de protection des consommateurs reconnaissent aujourd’hui qu’un Wi-Fi public est acceptable pour des usages non sensibles si le chiffrement applicatif fonctionne correctement. Consulter un article de presse, regarder une vidéo ou chercher un itinéraire ne pose pas de problème particulier.
Là où le risque persiste, c’est pour les opérations sensibles : accès à un compte bancaire, saisie de mots de passe sur un site mal configuré, échange de données professionnelles confidentielles. Le chiffrement HTTPS protège le contenu, mais il ne protège pas contre toutes les formes d’attaque.
Attaque evil twin : le faux hotspot qui vole vos identifiants
Vous avez peut-être déjà vu deux réseaux portant un nom presque identique dans la liste Wi-Fi de votre téléphone. L’un est légitime, l’autre non. C’est le principe de l’attaque dite « evil twin » (jumeau maléfique).
Un attaquant crée un point d’accès Wi-Fi dont le nom ressemble à celui du réseau officiel d’un lieu public. Votre appareil s’y connecte, parfois automatiquement. Jusque-là, les articles concurrents décrivent la même chose. Ce qui a changé récemment, c’est la finalité de l’attaque.
Du sniffing au phishing ciblé
Les campagnes d’attaque récentes n’utilisent plus ces faux réseaux pour écouter le trafic chiffré. Elles servent surtout à afficher un portail captif piégé, une page qui imite la connexion Wi-Fi classique et demande un identifiant, un mot de passe ou une adresse email.
L’utilisateur pense se connecter au Wi-Fi du lieu. En réalité, il transmet ses identifiants à l’attaquant. Certains portails piégés vont plus loin et poussent l’installation d’un logiciel malveillant sous couvert de « mise à jour de sécurité ».
Le danger n’est donc plus l’écoute passive du réseau. Le vrai risque est de saisir des données sur une page contrôlée par l’attaquant.
Paramètres de connexion Wi-Fi à vérifier sur vos appareils
La plupart des utilisateurs laissent les réglages Wi-Fi par défaut sur leur téléphone ou leur ordinateur. Quelques ajustements réduisent considérablement l’exposition aux attaques sur les réseaux publics.
- Désactiver la connexion automatique aux réseaux ouverts. Sur iOS comme sur Android, un réglage permet d’exiger une confirmation avant de rejoindre un réseau inconnu. Cela empêche votre appareil de se connecter seul à un faux hotspot.
- Oublier les réseaux publics après usage. Si le réseau du café reste enregistré, votre appareil le cherchera activement et pourra se reconnecter à un evil twin portant le même nom, même dans un autre lieu.
- Vérifier que le partage de fichiers est désactivé avant de rejoindre un réseau public. Sur Windows, le profil « réseau public » restreint automatiquement ces fonctions, mais sur macOS, la vérification manuelle reste nécessaire.
- Privilégier le partage de connexion depuis votre téléphone (tethering) pour toute opération sensible, plutôt que le Wi-Fi du lieu.
Ces réglages prennent quelques secondes. Ils éliminent le scénario le plus courant : la connexion involontaire à un réseau non fiable.
VPN sur Wi-Fi public : protection réelle ou fausse sécurité ?
Vous avez lu partout qu’un VPN est la solution pour sécuriser une connexion Wi-Fi publique. C’est partiellement vrai, mais le mécanisme mérite une explication claire.
Un VPN (réseau privé virtuel) crée un tunnel chiffré entre votre appareil et un serveur distant. Tout le trafic passe par ce tunnel. Même sur un réseau compromis, un observateur ne peut ni lire vos données ni savoir quels sites vous visitez.
Ce qu’un VPN ne couvre pas
Le VPN chiffre le transport, pas le comportement de l’utilisateur. Si vous saisissez vos identifiants sur un portail captif piégé avant d’activer le VPN, le mal est fait. De même, un VPN ne protège pas contre un fichier malveillant téléchargé volontairement.
Un VPN gratuit pose aussi des questions de fiabilité. Certains services financent leur gratuité par la revente de données de navigation. Mieux vaut un service payant avec une politique de non-conservation des journaux de connexion, vérifiée par un audit indépendant.
Pour un usage professionnel, le VPN d’entreprise reste la référence. Il route le trafic vers le réseau interne de l’organisation et applique les mêmes règles de sécurité qu’au bureau.
Directive NIS 2 : les opérateurs de Wi-Fi public bientôt concernés
La sécurité des réseaux Wi-Fi publics ne repose pas uniquement sur les utilisateurs. La directive européenne NIS 2, qui renforce les obligations de cybersécurité pour de nombreux secteurs, concerne aussi les fournisseurs de services numériques et les opérateurs de réseaux.
Concrètement, les entités qui déploient des points d’accès Wi-Fi dans les transports, les hôtels ou les espaces publics devront documenter leurs mesures de sécurité et signaler les incidents. La responsabilité se partage désormais entre l’usager et l’opérateur du réseau.
Cette évolution réglementaire pourrait améliorer la configuration par défaut des routeurs et points d’accès publics : protocole WPA à jour, isolation des appareils connectés, segmentation du réseau visiteur. Des mesures techniques qui, jusqu’ici, restaient au bon vouloir de l’exploitant.
Le Wi-Fi public ne disparaîtra pas, et il n’a pas besoin de disparaître. Un réseau ouvert avec HTTPS, un appareil correctement paramétré et un VPN activé pour les usages sensibles forment une combinaison qui couvre la grande majorité des risques. Le réflexe le plus efficace reste le plus simple : ne jamais saisir un mot de passe sur une page dont vous n’avez pas vérifié l’adresse.
