Wifi public : 3 pièges et le bon réflexe en déplacement

Ce qu’il faut retenir

Mardi matin, 10h15, salle d’attente d’une gare

Thierry est directeur commercial dans une PME de distribution industrielle. Son train part dans 40 minutes. Il a une présentation à finaliser pour son rendez-vous de 14h et un email urgent à envoyer à son comptable avec les dernières remises accordées à un client grand compte.

La 4G passe mal dans la salle d’attente. Il voit un réseau wifi : « Gare_Free_Wifi ». Il se connecte. En deux minutes, c’est réglé : la présentation est envoyée, l’email aussi. Thierry monte dans son train, satisfait de sa matinée.

Ce qu’il ne sait pas : ce réseau n’appartient pas à la gare. Il a été créé la veille par quelqu’un installé dans la salle d’attente avec un ordinateur portable et un logiciel librement téléchargeable. On appelle ce type de réseau un « Evil Twin », un jumeau maléfique : un point d’accès frauduleux qui usurpe le nom d’un réseau légitime.

Tout le trafic de Thierry est passé par l’ordinateur de l’attaquant : l’email au comptable avec les remises et le nom du client, la présentation, et les identifiants de l’outil de devis remplis automatiquement par son navigateur.

Ce scénario est une illustration, construite à partir de techniques d’attaque connues.

Les 3 pièges du wifi public

Les recommandations de l’ANSSI sur le nomadisme numérique considèrent les réseaux publics comme non maîtrisés, donc non fiables. Concrètement, trois pièges reviennent :

1. Le faux point d’accès (Evil Twin)

Un réseau porte le même nom qu’un réseau légitime, ou un nom très proche, pour que les appareils s’y connectent, parfois automatiquement s’ils ont déjà rencontré un réseau du même nom.

2. L’interception du trafic (homme du milieu)

Une fois connecté au réseau de l’attaquant, tout votre trafic passe par lui. Il peut lire ce qui circule en clair, rediriger vers de fausses pages de connexion ou modifier certaines données en transit.

3. Le faux portail de connexion

Beaucoup de réseaux publics demandent une inscription via une page web. Une page frauduleuse peut réclamer votre adresse email et votre mot de passe « pour accéder au wifi », ou proposer de télécharger un faux logiciel.

Ce que recommande l’ANSSI, en moins de deux minutes

L’ANSSI a publié le 6 novembre 2026 une courte vidéo pédagogique dans sa série #PauseCyber. Elle part d’une question simple : comment protéger des informations confidentielles quand on passe par un réseau ouvert à tous ?

Trois idées à en retenir pour vos déplacements :

• Activer un VPN sur un réseau wifi public. Le VPN fait passer vos données dans un tunnel chiffré, comme un passage réservé et caché des regards plutôt qu’une route ouverte à tous.
• Le VPN ne fait pas tout. Sa configuration, les protocoles utilisés et leurs mises à jour sont essentiels. C’est le rôle de votre service informatique ou de votre prestataire.
• Réduire l’exposition. L’ANSSI conseille aussi de désactiver le wifi quand vous ne l’utilisez pas, ainsi que la connexion automatique aux réseaux déjà connus [Télécharger le guide officiel ANSSI (PDF)].

Les endroits à risque que personne ne surveille

Les gares et aéroports sont les exemples classiques. Le risque existe aussi dans les hôtels (réseau partagé avec tous les occupants), les salons professionnels et conférences, les cafés lors des déjeuners de travail, les espaces de coworking ouverts et les salles d’attente chez vos clients.

Ce que Thierry aurait dû faire

Deux options concrètes pour une PME :

Option 1 : le VPN de l’entreprise. Si votre PME dispose d’un accès distant sécurisé, son utilisation doit devenir systématique en mobilité, dès qu’on n’est pas sur un réseau maîtrisé.

Option 2 : le partage de connexion 4G/5G. Plus simple et souvent sous-estimé : activer le partage de connexion depuis le téléphone professionnel. La plupart des forfaits professionnels l’incluent.

Et si aucune des deux n’est disponible : ne pas se connecter. Certaines tâches peuvent attendre 40 minutes.

Attention à la fausse bonne idée : télécharger le premier VPN gratuit venu sur son ordinateur professionnel. C’est remplacer un intermédiaire inconnu par un autre.

La règle des données sensibles en mobilité

Voici une règle simple à afficher dans votre charte informatique :

Sur un réseau public et sans VPN actif : pas d’accès aux outils de gestion (ERP, CRM, comptabilité), pas d’envoi d’informations confidentielles, pas de saisie d’identifiants professionnels.

Pour aller plus loin

• Accès à distance en PME : sécuriser télétravail et déplacements, notre guide complet sur le sujet.
• VPN ou antivirus : 10 points clés pour comprendre pourquoi il faut les deux.
• Compte piraté : 4 gestes pour couper vraiment l’accès, si des identifiants ont pu être interceptés.
• MFA et passkeys : sécuriser les accès de votre PME.

Vous ne savez pas si vos collaborateurs utilisent un VPN en déplacement ? Le dispositif MonAideCyber permet un premier diagnostic gratuit et confidentiel de vos pratiques : comprendre le diagnostic gratuit MonAideCyber.

Le1313 : le défi cyber du mardi

• Une idée concrète à appliquer rapidement.
• Un exemple réel pour comprendre le risque.
• Des gestes directement utilisables en TPE-PME.
• Un format court, sans masquer les limites techniques.