Voyages d'affaires, travail depuis un café, réunions à l'aéroport : le travail mobile fait aujourd'hui partie du quotidien de nombreux collaborateurs. Et avec lui vient la question : est-ce vraiment sûr ? Que se passe-t-il lorsqu'une personne utilise le Wi-Fi public dans le train ou recharge son smartphone sur une borne USB ?
Depuis des années, deux scénarios de menace dominent les formations d'awareness et les blogs sécurité : le juice jacking et les evil twins. Tous deux sont régulièrement présentés comme des dangers sérieux. Mais qu'en est-il vraiment, et à quoi les responsables sécurité devraient-ils réellement préparer leurs collaborateurs aujourd'hui ?
Juice jacking : beaucoup de bruit pour rien
Le juice jacking désigne une attaque dans laquelle des ports USB ou câbles de recharge manipulés sont utilisés pour extraire des données d'un appareil connecté ou installer un malware. Cela semble inquiétant. Et le sujet fait effectivement régulièrement les gros titres depuis 2011.
La vérité qui ramène sur terre :
Cela ne vient pas d'un manque d'intérêt des attaquants, mais de la réalité technique : Apple comme Google ont intégré des mécanismes de protection à leurs systèmes d'exploitation dès 2013. Les appareils iOS et Android modernes bloquent par défaut le transfert de données via USB. Avant que des données puissent circuler, l'utilisateur doit donner son accord actif, via une demande explicite à l'écran.
Qu'est-ce que cela signifie en pratique ? Les adaptateurs spéciaux de blocage de données USB, souvent appelés "USB condoms", sont inutiles avec les appareils actuels. Si une borne de recharge affiche malgré tout une demande de transfert de données, il faut la refuser, débrancher l'appareil et chercher un autre point de recharge. C'est tout.
Le juice jacking n'est plus un scénario d'attaque pertinent. Le positionner comme menace principale dans des campagnes d'awareness détourne l'attention des vrais risques.
Wi-Fi public : plus nuancé que sa réputation
Ici aussi, un regard sobre vaut la peine. L'avertissement général « le Wi-Fi public est dangereux » était justifié dans les années 2000, lorsque de nombreuses connexions étaient encore transmises sans chiffrement et qu'un attaquant présent sur le même réseau pouvait facilement écouter.
Aujourd'hui, la situation est différente :
- HTTPS est devenu la norme. Tous les navigateurs pertinents imposent désormais des connexions chiffrées. Toutes les données entre l'appareil et le site web sont chiffrées de bout en bout, dans le Wi-Fi public comme dans le réseau d'entreprise. Les connexions HTTP non sécurisées sont signalées par des avertissements clairs dans le navigateur.
- L'infrastructure réseau a rattrapé son retard. Les hotspots publics modernes, par exemple ceux de la Deutsche Bahn, utilisent des techniques comme la client isolation, qui empêchent les appareils du même réseau de communiquer directement entre eux.
Cela signifie que le Wi-Fi public à l'hôtel ou à l'aéroport est nettement plus sûr pour les activités professionnelles typiques qu'il y a dix ans. Une politique générale d'interdiction est difficile à faire respecter et contre-productive en pratique.
La vraie menace : les evil twins
Si le Wi-Fi public reste dangereux aujourd'hui, c'est surtout à cause d'une technique d'attaque spécifique : l'evil twin.
Un evil twin est un point d'accès Wi-Fi frauduleux qui imite un réseau légitime, avec un nom identique ou très similaire, souvent même un signal plus fort pour inciter les appareils à se connecter. Toute personne qui s'y connecte sans le savoir peut être attaquée de plusieurs manières :
- Phishing via captive portals. L'attaquant affiche un écran de connexion trompeusement réaliste, familier des hôtels et aéroports. Au lieu de demander seulement une adresse e-mail, il demande aussi le mot de passe du compte e-mail. Une personne inattentive transmet alors directement ses identifiants à l'attaquant.
- Forced App Installation. Le faux Wi-Fi prétend qu'une application spécifique doit être installée pour se connecter. Cette application est un malware.
- Sites web de phishing. Les utilisateurs sont redirigés vers des copies trompeusement réalistes de services légitimes, par exemple la banque en ligne ou des plateformes connues, et incités à saisir des données.
Ce qui distingue les evil twins du juice jacking
Les evil twins sont donc plus dangereux que le juice jacking, car ils ne dépendent pas d'une faille technique du système d'exploitation. Ils misent sur le maillon le plus faible : l'humain sous pression. Celui qui doit se connecter rapidement au Wi-Fi à l'aéroport ne lit pas attentivement l'écran de connexion.
Et c'est précisément là que se situe la mission de la security awareness.
4 règles qui protègent vraiment
Pour se protéger dans le Wi-Fi public, il existe quatre mesures qui fonctionnent réellement et que les collaborateurs peuvent comprendre et appliquer :
1. Utiliser un VPN
Une connexion VPN chiffre tout le trafic et empêche un evil twin d'intercepter ou de rediriger les connexions. Le VPN est le gold standard du travail mobile sécurisé, mais il ne protège pas contre ses propres erreurs, par exemple l'installation volontaire d'un malware.
2. Vérifier le nom du Wi-Fi
Avant de se connecter, demander le nom exact du réseau au personnel ou le vérifier sur les panneaux officiels. Les noms qui se ressemblent sont un signal d'alerte classique.
3. Ne fournir que les données minimales
Lors des connexions à des hotspots publics, il est courant d'indiquer une adresse e-mail ou un numéro de téléphone. Si davantage est demandé, en particulier des mots de passe, il faut interrompre immédiatement la connexion.
4. Ne pas installer d'applications
Aucun Wi-Fi légitime n'exige l'installation d'une application comme condition de connexion. De telles demandes sont un signal d'alerte évident pour un evil twin.
Conclusion : information ciblée plutôt qu'interdictions générales
Le niveau de sécurité du travail mobile est aujourd'hui nettement plus élevé que ce que suggèrent souvent les récits médiatiques. Le juice jacking est pratiquement sans pertinence. Le Wi-Fi public peut être utilisé de façon acceptable avec les bonnes mesures. La véritable menace, les evil twins, est réelle, mais bien gérable grâce à des règles de comportement claires.
Ce que les responsables sécurité devraient en retenir : les programmes d'awareness doivent être actuels et précis. Les scénarios de menace dépassés ou exagérés minent la crédibilité et provoquent de la résistance plutôt que du changement de comportement. Les collaborateurs qui savent ce qui est réellement dangereux prennent de meilleures décisions, même sans obligation de VPN ni interdiction générale d'utilisation.
La mobilité n'est plus une exception. Elle est une réalité du travail. La stratégie de sécurité devrait le refléter.