Vous êtes dans le hall d’un aéroport, votre vol est dans deux heures, et votre forfait mobile ne capte plus rien depuis que vous avez passé la frontière. Le petit pop-up « Wi-Fi gratuit » apparaît sur votre écran, et sans réfléchir, vous appuyez sur « se connecter ». On l’a tous fait.
Pourtant, ce geste anodin, répété par des millions de voyageurs chaque jour, cache des risques bien réels. Selon une étude relayée par MetaCompliance, 87 % des internautes ont déjà mis en danger leurs données personnelles en utilisant un Wi-Fi public gratuit.
Et les voyageurs français ne sont pas en reste : une enquête Saily de la même année montre que 66 % d’entre eux se connectent au Wi-Fi public à l’étranger malgré les mises en garde. On va décortiquer ensemble les menaces, les illustrer avec des cas concrets, et surtout vous donner un protocole de protection simple pour ne plus jamais vous faire piéger.
Pourquoi le Wi-Fi public est une passoire : les 3 principales attaques
Tous les réseaux Wi-Fi ouverts ne sont pas dangereux, mais ils partagent un point commun : ils sont incroyablement faciles à exploiter. Europol, l’agence européenne de police criminelle, a identifié trois grandes familles d’attaques qui transforment une connexion innocente en piège.
Le plus effrayant ? Les outils nécessaires sont souvent accessibles à des personnes ayant « peu de compétences techniques », comme le souligne Europol dans son guide sur les risques du Wi-Fi public.
Les réseaux Wi-Fi factices (Rogue Wi-Fi/Evil Twin)
Imaginez : vous arrivez dans un hôtel, vous cherchez le réseau, et vous voyez « Hotel_Gratuit » et « Hotel_WiFi_Gratuit ». Lequel est le vrai ? Un attaquant peut créer un point d’accès qui imite le nom du réseau légitime, souvent avec un petit ajout comme « gratuit » ou « free ».
Dès que vous vous connectez, vous êtes redirigé vers une fausse page de connexion qui vous demande vos identifiants de messagerie ou de réseaux sociaux. Vous les tapez, et ils sont immédiatement enregistrés par l’attaquant.
Le Centre national pour la cybersécurité suisse (NCSC) a décrit cette technique en détail en 2024, en s’appuyant sur des cas documentés par la police australienne.
Les attaques de l’homme du milieu (MITM)
Ici, le pirate s’intercale entre votre appareil et le point d’accès sans que vous ne voyiez rien. Tout ce que vous envoyez ou recevez — mots de passe, messages, photos — transite par lui.
Si le site que vous visitez n’utilise pas le chiffrement HTTPS (le petit cadenas dans la barre d’adresse), vos données circulent en clair. Même avec HTTPS, un attaquant peut tenter de dégrader la connexion vers une version non chiffrée.
C’est un peu comme si vous parliez au téléphone dans une pièce bondée, mais que quelqu’un branchait une oreillette sur votre ligne sans que vous le sachiez.
Le reniflage de paquets (Packet Sniffing)
Des logiciels gratuits et faciles à trouver permettent de capturer toutes les données qui transitent sur un réseau non chiffré. Une fois dans le réseau, l’attaquant n’a qu’à lancer son outil et attendre.
Comme le rappelle Europol, ces outils « nécessitent peu de compétences techniques ». Autrement dit, vous n’avez pas besoin d’être un hacker de génie pour espionner un café bondé.
Les preuves sur le terrain : Paris, aéroports, hôtels
Les menaces ne sont pas théoriques. Des études et des affaires bien réelles montrent que le Wi-Fi public est un terrain de jeu pour les cybercriminels, même chez nous.
Paris, laboratoire à ciel ouvert
À l’occasion des Jeux olympiques de 2024, Kaspersky a analysé près de 25 000 points d’accès Wi-Fi dans la capitale française. Le constat, relayé par BFMTV (données les plus récentes disponibles à ce jour), est alarmant : 25 % des réseaux présentaient de « graves faiblesses en matière de sécurité », avec un chiffrement faible ou inexistant.
Seulement 6 % utilisaient le protocole WPA3, le plus récent, tandis que 20 % fonctionnaient encore avec le protocole WPS, jugé « obsolète et facile à compromettre ». Autrement dit, un réseau public sur quatre à Paris était une passoire.
Aéroports : l’affaire de l’« evil twin » australien
En juin 2024, un Australien nommé Michael Clapsis a été arrêté pour avoir créé de faux réseaux Wi-Fi dans les aéroports de Perth, Melbourne et Adélaïde, ainsi qu’à bord de vols domestiques. Il utilisait ces points d’accès pour voler identifiants, photos et données de cartes de crédit.
L’homme a été condamné en novembre 2025 à 7 ans et 4 mois de prison, comme le rapporte l’Australian Federal Police. Europol le confirme : les aéroports sont « particulièrement risqués » à cause de la concentration de voyageurs ayant un besoin urgent de connexion et souvent loin de leur réseau cellulaire domestique.
Hôtels : l’affaire DarkHotel
En 2014, Kaspersky Lab a mis au jour une campagne de cyberespionnage baptisée « DarkHotel », active depuis sept ans, qui ciblait des cadres dirigeants de multinationales via les Wi-Fi d’hôtels de luxe en Asie, notamment au Japon, en Chine et à Taïwan.
Les attaquants exploitaient des vulnérabilités zero-day sur Adobe Flash pour installer des logiciels espions. Même si elle date, cette affaire montre que personne n’est à l’abri, surtout quand on mélange déplacement professionnel et connexion non sécurisée.
Ce que vous risquez concrètement : au-delà du mot de passe
On pense souvent que le risque se limite à se faire voler un mot de passe. La réalité est plus large et plus embarrassante. Les données bancaires, comme les numéros de cartes de crédit, peuvent être interceptées en clair sur un réseau mal protégé, comme l’a alerté le NCSC suisse en 2024.
Une fois vos identifiants de messagerie ou de réseaux sociaux dérobés, un attaquant peut usurper votre identité, pirater vos comptes et lancer des campagnes d’hameçonnage ciblées vers vos contacts.
Et ce n’est pas tout : un réseau compromis peut aussi injecter des logiciels malveillants sur votre appareil, sans que vous n’ayez rien à cliquer. ExpressVPN décrit six types de risques sur les Wi-Fi publics, dont l’infection par malware.
Les chiffres officiels confirment la tendance. En 2024, la plateforme Cybermalveillance.gouv.fr a enregistré plus de 420 000 demandes d’assistance, soit une hausse de 49,9 % par rapport à l’année précédente, avec 5,4 millions de visiteurs uniques (+47 %).
L’hameçonnage représentait à lui seul 34 % des demandes pour les particuliers. Et selon une étude Forbes citée par Statista en 2024 (les données les plus récentes disponibles), près de 40 % des Américains ont subi une compromission de leurs données personnelles en utilisant le Wi-Fi public dans un café ou un restaurant, les hôtels arrivant juste derrière.
Le cadre légal : ce que les hôtels et cafés doivent faire (et ne font pas toujours)
En France, la CNIL impose aux responsables de réseaux Wi-Fi publics (hôtels, restaurants, cafés) de sécuriser leurs réseaux, notamment en les séparant de leur réseau interne et en utilisant un chiffrement conforme aux recommandations de l’ANSSI.
Dans les faits, les contrôles et les sanctions sont rares. Vous pouvez croiser les doigts pour que l’établissement respecte la loi, mais vous seriez bien naïf de vous y fier les yeux fermés. La protection de vos données, c’est d’abord votre responsabilité.
Le protocole de protection du voyageur
Bonne nouvelle : avec quelques réflexes simples, vous pouvez réduire les risques à presque zéro sans renoncer à la connectivité. Voici une feuille de route en quatre étapes.
La règle d’or : le VPN systématique
Un VPN (réseau privé virtuel) chiffre l’intégralité du trafic entre votre appareil et un serveur distant, même si le réseau Wi-Fi est compromis. En clair, même si un attaquant intercepte vos données, il ne verra qu’un charabia illisible.
C’est un moyen efficace de se protéger sur un réseau public. Parmi les solutions disponibles, ExpressVPN se distingue par son chiffrement AES 256 bits et son protocole propriétaire Lightway, conçu pour des connexions rapides et stables.
Sa technologie TrustedServer fonctionne exclusivement sur mémoire vive (RAM) : toutes les données s’effacent à chaque redémarrage du serveur. Avec des serveurs répartis dans 113 pays, vous pouvez toujours trouver une connexion proche de vous.
Le service fait l’objet d’audits réguliers par des cabinets indépendants comme Cure53 et KPMG, ce qui garantit l’absence de conservation des logs. Sur Trustpilot, il affiche une note de 4,1 étoiles sur plus de 28 000 avis, les utilisateurs français soulignant la facilité d’utilisation et la stabilité pour accéder à leurs services préférés depuis l’étranger.
Pour en savoir plus, consultez le site officiel d’ExpressVPN — vous pourrez même tester avec une garantie satisfait ou remboursé de 30 jours.
Avant de partir : préparer ses appareils
Mettez à jour votre système d’exploitation et vos applications. Les failles non corrigées sont une porte d’entrée idéale pour les malwares.
Désactivez la connexion automatique aux réseaux Wi-Fi connus : votre téléphone pourrait se connecter à un faux réseau sans même vous demander votre avis. Installez et configurez votre VPN avant le départ, pour ne pas avoir à bricoler au dernier moment.
Sur place : les réflexes à adopter
Demandez toujours le nom exact du réseau au personnel de l’hôtel, du café ou de l’aéroport. Méfiez-vous des noms génériques comme « Free_WiFi » ou « Airport_Gratuit ». Privilégiez les réseaux avec un portail captif qui vous demande un code unique reçu à l’accueil, plutôt qu’un réseau complètement ouvert.
Même avec un VPN activé, évitez les opérations sensibles comme les achats ou les consultations bancaires sur un navigateur ; préférez les applications officielles, qui sont souvent mieux protégées.
Alternatives au Wi-Fi public
Si vous pouvez, tournez-vous vers une eSIM voyage ou un forfait data international. Les prix ont beaucoup baissé ces dernières années, et vous restez en 4G/5G — donc hors de portée des attaques Wi-Fi.
Autre option : partagez la connexion de votre téléphone (mode modem) plutôt que d’utiliser le réseau de l’hôtel. C’est plus sûr et souvent plus rapide.
Cas particulier : les professionnels en déplacement
Le travail à distance amplifie encore le risque. Selon DFM.fr, 82 % des professionnels IT et cybersécurité estiment que leur entreprise est plus vulnérable aux cyberattaques depuis la mise en place du télétravail, notamment à cause des connexions Wi-Fi non sécurisées.
Si vous voyagez pour le boulot, utilisez impérativement le VPN de votre entreprise ou un VPN personnel de confiance. N’accédez jamais aux ressources internes de votre société sans VPN, et évitez à tout prix de manipuler des données clients ou financières sur un réseau public.
Caveats & contrepoints
Soyons honnêtes : tous les réseaux publics ne sont pas piégés, et des millions de voyageurs n’ont jamais eu de problème. Les navigateurs modernes et le chiffrement HTTPS protègent déjà une partie de votre trafic. Une interception ne signifie pas un vol automatique si le site est correctement sécurisé.
Le VPN, lui, n’est pas une baguette magique : il déplace la confiance de l’opérateur Wi-Fi vers le fournisseur VPN. C’est pour ça qu’il est crucial de choisir un service audité et transparent, comme ExpressVPN avec ses audits Cure53 et KPMG. Certains VPN gratuits revendent vos données, ce qui serait pire que le mal qu’ils prétendent combattre.
Si vous préparez vos escapades en Europe pour un week-end prolongé, intégrer la cybersécurité à votre checklist voyage devient aussi important que votre passeport.
Conclusion
Les risques du Wi-Fi public — vol de données, interception, réseaux factices — sont documentés et en hausse. Paris, les aéroports australiens, les hôtels de luxe asiatiques nous le rappellent.
Mais avec un VPN activé, quelques réglages avant le départ et un peu de bon sens sur place, vous réduisez la surface d’attaque à presque rien. Avant votre prochain voyage en Europe, prenez dix minutes pour sécuriser vos appareils.
La tranquillité d’esprit n’a pas de prix, et elle tient souvent dans une application. Le Wi-Fi gratuit peut coûter cher — autant le savoir avant de se connecter.
