Les risques du Wifi public sont souvent sous-estimés. Se connecter à un réseau Wifi gratuit est devenu un réflexe. Que ce soit dans un aéroport, un café, un hôtel ou un espace de coworking, cette pratique est désormais courante. Pourtant, ce confort a un prix caché. Les réseaux Wifi publics figurent parmi les vecteurs d’attaque les plus utilisés par les cybercriminels. Ils permettent d’intercepter des données professionnelles, de voler des identifiants ou de compromettre un appareil. Avec la généralisation du télétravail et de la mobilité au Maroc, ces risques concernent désormais les grandes entreprises, les PME et les travailleurs indépendants.

Pourquoi les risques du Wifi public sont-ils si élevés ?

Un réseau Wifi public est, par définition, accessible au plus grand nombre. Il repose rarement sur un chiffrement robuste et n’exige souvent aucune authentification réelle. De plus, l’établissement qui le propose ne dispose généralement ni des compétences ni des outils nécessaires pour surveiller sa sécurité en continu. Résultat : un cybercriminel connecté au même réseau peut potentiellement observer ou intercepter le trafic des autres utilisateurs. Cette situation expose les données personnelles et professionnelles à un risque de compromission.

Ce terrain ouvert et peu surveillé en fait un environnement idéal pour plusieurs types d’attaques, souvent invisibles pour la victime au moment où elles se produisent.

Les principaux risques du Wifi public pour les entreprises

L’attaque de l’homme du milieu (Man-in-the-Middle)

L’attaquant se positionne discrètement entre l’utilisateur et le site ou service auquel il essaie d’accéder. Il peut alors lire, voire modifier, les échanges de données en temps réel : identifiants de messagerie, informations bancaires, documents professionnels envoyés en pièce jointe.

Les faux points d’accès (Evil Twin)

Un attaquant peut créer un réseau Wifi dont le nom ressemble fortement à celui d’un point d’accès légitime. Par exemple, « Hotel_Wifi_Free » au lieu de « Hotel_Wifi ». Cette technique vise à tromper les utilisateurs. Les appareils configurés pour se reconnecter automatiquement à des réseaux connus peuvent s’y connecter sans que leur propriétaire s’en aperçoive. L’ensemble du trafic Internet transite alors par le réseau contrôlé par l’attaquant.

L’interception de données non chiffrées

Toute donnée transmise sur un site ou une application qui n’utilise pas un chiffrement de bout en bout (HTTPS, VPN) peut être capturée en clair par un attaquant présent sur le même réseau, à l’aide d’outils d’écoute réseau largement accessibles.

La propagation de malwares

Certains points d’accès compromis injectent du code malveillant directement dans les pages web consultées, ou déclenchent le téléchargement discret d’une application infectée sur l’appareil connecté.

Risques du Wifi public au Maroc : un danger encore sous-estimé

Les risques Wifi public se sont fortement accrus avec le développement du télétravail hybride et la multiplication des espaces de coworking à Casablanca, Rabat ou Marrakech. L’usage professionnel des réseaux Wifi publics est devenu courant. Un collaborateur qui consulte sa messagerie professionnelle, se connecte à Microsoft 365 ou accède à un espace de stockage cloud depuis l’aéroport Mohammed V, un café ou une chambre d’hôtel expose potentiellement des données sensibles de l’entreprise, sans qu’aucune alerte ne se déclenche.

Ce risque est particulièrement critique pour les organisations qui manipulent des données clients ou des données personnelles. Ces dernières restent soumises à la loi n° 09-08 relative à la protection des données à caractère personnel. Une fuite provoquée par une connexion Wifi non sécurisée lors d’un déplacement peut engager la responsabilité de l’entreprise. Son impact peut être aussi important qu’une faille technique sur son infrastructure interne.

Exemples concrets de compromission via wifi public

• Un collaborateur consulte sa messagerie professionnelle depuis le Wifi gratuit d’un café. Ses identifiants, transmis sans chiffrement suffisant, sont interceptés et réutilisés quelques heures plus tard pour accéder à sa boîte mail.
• Un voyageur se connecte à l’hôtel via un portail captif qui lui demande son adresse email et un mot de passe « pour valider l’accès ». Ce portail, en réalité falsifié, collecte ces informations à des fins de réutilisation sur d’autres services.
• Un smartphone configuré pour se reconnecter automatiquement à un réseau Wifi déjà utilisé par le passé se connecte, sans intervention de l’utilisateur, à un faux point d’accès portant le même nom, installé par un attaquant dans un lieu public fréquenté.

Comment repérer un réseau Wifi suspect avant de vous connecter

Il n’existe pas de méthode infaillible pour distinguer à l’œil nu un point d’accès légitime d’un faux réseau, mais quelques signaux doivent inciter à la prudence :

• Plusieurs réseaux portent des noms très similaires, comme Cafe_Wifi, Cafe_Wifi_Free ou Cafe-Wifi-5G. Cela peut indiquer la présence d’un faux point d’accès installé à proximité d’un réseau légitime.
• Le réseau ne demande aucun mot de passe, alors que l’établissement en utilise habituellement un.
• À l’inverse, il peut demander des informations inhabituelles, comme une adresse email ou un numéro de téléphone…
• Le portail de connexion présente des fautes d’orthographe, un design peu professionnel ou une adresse qui ne correspond pas au nom de l’établissement. Ces éléments doivent immédiatement éveiller la méfiance. La connexion est anormalement lente ou instable. Cela peut révéler un point d’accès frauduleux plutôt qu’une infrastructure Wifi professionnelle.

En cas de doute, la règle la plus simple reste de demander directement au personnel de l’établissement le nom exact du réseau Wifi officiel, plutôt que de se fier à la liste affichée sur son appareil.

Comment se protéger quand on utilise un wifi public

Quelques réflexes permettent de réduire considérablement l’exposition, à titre individuel :

• Utiliser systématiquement un VPN avant toute connexion à des services professionnels, pour chiffrer l’ensemble du trafic.
• Vérifier le nom exact du réseau auprès du personnel de l’établissement, plutôt que de se fier à la liste des réseaux disponibles.
• Désactiver la connexion automatique aux réseaux Wifi connus et le partage de fichiers lorsque l’appareil est sur un réseau public.
• Privilégier les sites et applications en HTTPS, et éviter toute transaction sensible (bancaire, administrative) sur un réseau public.
• Préférer le partage de connexion depuis son propre smartphone lorsque la situation le permet, plutôt qu’un réseau Wifi inconnu.
• Activer la double authentification (MFA) sur l’ensemble des comptes professionnels sensibles.

Bonnes pratiques pour les entreprises

Pour les organisations, la sécurisation de la mobilité doit s’inscrire dans une politique claire, et non reposer uniquement sur la vigilance individuelle :

• Rendre le VPN d’entreprise obligatoire pour tout accès distant aux ressources internes.
• Définir une politique de sécurité mobile et nomade, incluant les usages tolérés en déplacement.
• Vérifier régulièrement la configuration des accès distants — VPN, Microsoft 365, pare-feu — dans le cadre d’un audit de sécurité.
• Former les collaborateurs nomades aux risques spécifiques du Wifi public, au même titre que les autres vecteurs d’ingénierie sociale.

Conclusion

Le Wifi public reste un outil pratique et largement utilisé. La vigilance ne doit toutefois pas reposer uniquement sur les bons réflexes des utilisateurs. Une politique de sécurité claire, un VPN correctement déployé et des accès distants régulièrement vérifiés réduisent considérablement les risques. Ces bonnes pratiques peuvent faire toute la différence entre un incident évité et une fuite de données. Avec le développement du télétravail et de la mobilité professionnelle au Maroc, ce sujet ne peut plus être considéré comme un simple détail technique. Il fait désormais partie intégrante de la stratégie de cybersécurité de l’entreprise, au même titre que la protection du réseau interne ou des postes de travail.

CybernityOne réalise des audits de sécurité informatique incluant la vérification de la configuration de vos VPN, de vos accès distants et de vos environnements cloud (Microsoft 365, etc.), pour s’assurer que vos équipes restent protégées où qu’elles travaillent. Contactez-nous pour évaluer la sécurité de vos accès nomades.