Les passagers d’un vol Delta reliant Las Vegas à Atlanta ont subi une perturbation lorsqu’un réseau Wi-Fi non autorisé a incité l’équipage à désactiver temporairement le Wi-Fi à bord.
Delta enquête désormais sur l’incident, qui s’est produit à bord du vol 591 transportant des passagers de retour de la conférence de cybersécurité DEF CON 34.
« Les incidents de ce type nous rappellent que la commodité peut rapidement inspirer confiance. Le Wi-Fi public repose sur la capacité des utilisateurs à reconnaître le bon réseau », a déclaré Ross Filipek, RSSI de Corsica Technologies, dans un e-mail adressé à eSecurityPlanet.
Il a ajouté : « Les attaquants peuvent en profiter lorsque cette confiance est mal placée. »
Principaux enseignements de l’incident de piratage du Wi-Fi de Delta Airlines
- Delta enquête sur un réseau Wi-Fi non autorisé détecté à bord du vol 591 reliant Las Vegas à Atlanta et transportant des participants à la DEF CON.
- Une attaque présumée de désauthentification Wi-Fi a perturbé la connectivité, incitant l’équipage à désactiver le Wi-Fi à bord pendant environ 30 minutes.
- Un réseau pirate nommé « Delta WiFi Fast » aurait été diffusé, créant un risque d’attaque par jumeau malveillant et de vol d’identifiants.
- Les organisations peuvent réduire les risques liés aux réseaux Wi-Fi pirates grâce à une sécurité sans fil renforcée, des configurations d’appareils administrées, une MFA résistante à l’hameçonnage, une surveillance, la formation des employés et des plans de réponse aux incidents testés.
Delta enquête sur une attaque Wi-Fi malveillante
Delta a confirmé qu’un réseau sans fil non autorisé était apparu à bord du Boeing 757, mais a déclaré que l’incident n’avait affecté ni la sécurité des passagers ni les systèmes opérationnels de l’appareil.
Aucune urgence n’a été déclarée auprès du contrôle aérien.
Après la détection du réseau non autorisé, l’équipage de cabine a désactivé le service Wi-Fi de l’appareil pendant environ 30 minutes, selon BleepingComputer.
Delta a déclaré enquêter sur l’incident et prévoir de travailler avec les autorités fédérales chargées de l’application de la loi et les organismes de réglementation de l’aviation afin de déterminer ce qui s’est passé.
Les signalements pointent vers une attaque de désauthentification Wi-Fi
Des signalements en ligne affirment que des passagers de retour de la conférence de cybersécurité DEF CON ont mené une attaque de désauthentification Wi-Fi qui a perturbé les connexions au réseau sans fil légitime de l’appareil.
Pendant l’incident, un autre réseau nommé « Delta WiFi Fast » aurait également été diffusé, pouvant donner aux passagers l’impression qu’il s’agissait d’un service officiel de Delta.
Fonctionnement des attaques de désauthentification Wi-Fi
Wi-Fi : les attaques par désauthentification exploitent les trames de gestion que les réseaux sans fil utilisent pour contrôler les connexions entre les appareils et les points d’accès.
Un attaquant peut envoyer des trames de désauthentification forgées qui semblent provenir d’un point d’accès légitime et ordonnent aux appareils connectés de se déconnecter.
Lorsque ces trames sont transmises de manière répétée, les utilisateurs peuvent être incapables de maintenir une connexion au réseau légitime, ce qui crée de fait une situation de déni de service sans fil.
Le Wi-Fi pirate peut permettre des attaques par jumeau malveillant
La perturbation peut également créer une occasion de mener une attaque par jumeau malveillant.
Après la déconnexion des utilisateurs d’un réseau légitime, un attaquant peut diffuser un point d’accès pirate portant un nom convaincant ou familier.
Les utilisateurs qui tentent de se reconnecter peuvent sélectionner par erreur le réseau frauduleux, permettant à l’attaquant d’afficher de fausses pages de connexion, de rediriger le trafic ou de tenter de capturer des informations sensibles.
Dans l’incident concernant Delta, des signalements de tiers affirment que le réseau non autorisé affichait une page d’hameçonnage conçue pour recueillir des informations personnelles et des identifiants de connexion Google.
Delta n’a toutefois confirmé que la présence d’un réseau sans fil non autorisé et n’a pas confirmé publiquement les allégations de vol d’identifiants ni attribué cette activité à des individus précis.
Pour les équipes de sécurité, cet incident montre comment des attaquants peuvent combiner une perturbation sans fil et de l’ingénierie sociale pour exploiter la confiance des utilisateurs envers des noms de réseau familiers.
Un SSID reconnaissable ne suffit pas à établir qu’un réseau est légitime, en particulier dans des environnements publics comme les aéroports, les hôtels, les conférences et les plateformes de transport.
L’enquête sur cet incident est toujours en cours au moment de la publication.
Comment réduire les risques liés aux réseaux Wi-Fi pirates
Cet incident rappelle que les organisations doivent prendre en compte les réseaux sans fil pirates dans leur architecture de sécurité comme dans la formation de leurs employés à la sécurité.
- Activer les trames de gestion protégées (PMF), le WPA3-Enterprise et l’authentification fondée sur des certificats afin de réduire les risques d’usurpation et de désauthentification.
- Utiliser la gestion des appareils mobiles (MDM) pour déployer des profils réseau approuvés, désactiver les fonctions sans fil inutiles et empêcher les connexions automatiques aux réseaux inconnus.
- Utiliser des outils de détection et de prévention des intrusions pour identifier les points d’accès et les réseaux non autorisés qui usurpent une infrastructure légitime.
- Exiger des VPN approuvés ou des connexions cellulaires administrées lorsque les employés accèdent à des ressources sensibles depuis des réseaux publics ou non fiables.
- Utiliser une MFA résistante à l’hameçonnage et surveiller les systèmes d’authentification pour détecter les connexions suspectes, les nouveaux appareils et les activités de session anormales.
- Apprendre aux utilisateurs à reconnaître les réseaux jumeaux malveillants, les portails captifs suspects, les demandes de connexion inattendues et les autres signes d’hameçonnage sans fil.
- Tester les plans de réponse aux incidents et utiliser des outils de simulation d’attaques dans le cadre de scénarios axés sur les réseaux Wi-Fi pirates et le vol d’identifiants.
Ensemble, ces mesures peuvent aider les organisations à réduire leur exposition globale aux risques.
En résumé
Les scénarios impliquant des réseaux Wi-Fi pirates peuvent révéler des lacunes dans les politiques relatives aux terminaux, les contrôles d’identité, la télémétrie et la réponse aux incidents, qui peuvent ne pas apparaître lors d’exercices classiques d’hameçonnage.
L’incident de Delta souligne l’importance de vérifier dans quelle mesure les contrôles existants peuvent détecter et traiter les vols d’identifiants provenant de connexions sans fil pirates ou compromises.
Adopter les principes du zero trust peut aider les organisations à réduire leur exposition globale en imposant une vérification continue des utilisateurs, des appareils et des demandes d’accès, quel que soit le réseau utilisé.