Le faux hotspot qui porte le nom du café : comment fonctionne l'evil twin
Ou : votre téléphone salue tous les réseaux qu’il a connus, et quelqu’un lui répond.
La réponse courte : un evil twin, ou jumeau maléfique, est un point d’accès Wi-Fi qui usurpe le nom d’un réseau légitime, celui d’un café, d’un hôtel ou d’un aéroport. Le NIST, dans son guide sur la sécurité des réseaux sans fil, parle de point d’accès pirate. Le mécanisme exploite une habitude des appareils : ils cherchent en permanence les réseaux auxquels ils se sont déjà connectés et s’y rattachent seuls. Un boîtier qui écoute ces recherches peut créer instantanément un réseau du même nom, auquel le téléphone se connecte sans rien demander. Ensuite, l’attaque ne consiste pas à déchiffrer HTTPS, mais à présenter une fausse page de connexion qui réclame une adresse e-mail ou un compte de réseau social. C’est la menace la plus concrète du Wi-Fi public en déplacement.
Un cas bien documenté vient d’Australie. La police fédérale australienne a annoncé en juin 2024 l’inculpation d’un homme qui avait déployé de faux réseaux Wi-Fi gratuits dans les aéroports de Perth, Melbourne et Adelaide et à bord de vols intérieurs, où une compagnie aérienne avait repéré un réseau suspect. En novembre 2025, il a été condamné à sept ans et quatre mois de prison. Selon le communiqué, il utilisait un appareil connu sous le nom de WiFi Pineapple, qui écoutait les demandes de connexion des appareils et créait aussitôt un réseau portant le même nom ; les victimes arrivaient sur une fausse page de connexion qui ne donnait même pas accès à Internet.
Evil twin : comment le faux point d’accès piège un appareil, et les parades
| Protection | Ce qu’elle empêche | Limite |
|---|---|---|
| Oublier les réseaux après usage | La reconnexion automatique à un réseau du même nom | À refaire après chaque séjour |
| Ne rien saisir d’inhabituel sur un portail | Le vol d’identifiants par une fausse page | Demande de l’attention à chaque connexion |
| VPN activé dès la connexion | La lecture du trafic par le faux point d’accès | Le portail se franchit avant le VPN |
| Préférer le partage de connexion du téléphone | Le faux réseau lui-même | Consomme les données mobiles |
| WPA3 SAE-PK, côté exploitant | Le clonage d’un réseau à mot de passe partagé | Dépend du lieu, et des failles d’implémentation relevées en 2024 |
Un mot de passe affiché à l’accueil ne suffit pas. Le Centre pour la Cybersécurité Belgique donnait en 2023 l’exemple d’un faux réseau « HotelSunandSee_superfast » à côté du vrai « HotelSunandSee », et Mathy Vanhoef, chercheur à la KU Leuven, rappelait en 2024 qu’un réseau dont le mot de passe est public peut être cloné par n’importe quel client qui le connaît. Le Wi-Fi Enhanced Open, qui chiffre les réseaux ouverts, n’aide pas davantage : sa norme, la RFC 8110, reconnaît qu’elle n’authentifie pas le point d’accès et qu’un faux point d’accès peut lire et modifier le trafic.
Les systèmes limitent en partie le risque. Apple explique dans sa note sur les réseaux connus qu’un réseau ouvert auquel on ne s’est pas connecté manuellement depuis deux semaines ne déclenche plus de connexion automatique. Android se reconnecte en revanche aux réseaux déjà utilisés à proximité, et Windows comme Android permettent d’oublier un réseau en deux gestes. Mullvad refuse d’ailleurs d’automatiser l’activation ou la désactivation de son VPN selon le nom du réseau, précisément parce que ce nom peut être imité.
La police australienne donne trois conseils simples : se méfier d’un réseau qui demande des données personnelles pour se connecter, utiliser un VPN réputé sur un Wi-Fi public, et oublier le réseau une fois déconnecté.
Le risque dans son ensemble
L’evil twin est un risque parmi d’autres sur un Wi-Fi public, et certains ont disparu. L’état des lieux se trouve dans les vrais risques du Wi-Fi public.
Le vrai portail et le faux
La page de connexion de l’hôtel est à la fois nécessaire et celle qu’imitent les faux réseaux. La façon de la franchir sans baisser la garde est décrite dans le VPN face au portail captif.
Le VPN qui ne s’oublie pas
Un VPN qui se reconnecte seul réduit la fenêtre pendant laquelle un faux réseau voit votre trafic. Les réglages sont détaillés dans le VPN toujours actif sur mobile.