Le Wi-Fi est-il sécurisé au Mexique ?

L’un des plus grands événements footballistiques de cet été est la Coupe du monde 2026. Le tournoi est co-organisé par trois pays : les États-Unis, le Canada et le Mexique. Malheureusement, les événements de cette envergure attirent non seulement les fans, mais aussi des escrocs venus du monde entier. Nous avons déjà évoqué la manière dont les cybercriminels se préparent en ligne pour la Coupe du monde, et aujourd’hui, nous allons parler de la sécurité numérique des supporters sur place au Mexique.

Le pays accueillera 13 matchs et des millions de touristes. Ils logeront à l’hôtel, se rendront aux matchs, découvriront des restaurants, se repéreront dans les aéroports et visiteront des sites touristiques populaires, et partout où ils iront, ils seront tentés de se connecter au réseau Wi-Fi public.

Nous avons analysé plus de 84 500 (!) points d’accès Wi-Fi publics à Mexico, Guadalajara et Monterrey, et nous avons beaucoup à dire sur leur sécurité. Attention, spoiler : de nombreux réseaux continuent d’utiliser des normes de sécurité obsolètes. Il vaut donc mieux ne pas partir en vacances sans une protection fiable et une eSIM.

Ce que nous avons testé et comment

Traverser le Mexique à la recherche de points d’accès Wi-Fi publics aurait été un peu compliqué, même si c’est exactement ce que nous avons fait dans le cadre d’une étude similaire sur la sécurité des réseaux Wi-Fi à Paris. Vous pouvez consulter les résultats de cette étude dans notre article intitulé « À quel point le Wi-Fi à Paris est-il sûr ?« .

Cette fois-ci, la mission était bien plus exigeante : cartographier le paysage du réseau sans fil de trois grandes métropoles. C’est pourquoi nous avons opté pour le wardriving : une pratique consistant à analyser et référencer des réseaux sans fil depuis un véhicule en mouvement équipé d’un smartphone ou d’un ordinateur portable. C’est un peu comme lorsque vous recherchez un réseau Wi-Fi sur votre téléphone : l’appareil scanne en permanence les réseaux à proximité. Sauf qu’au lieu de s’y connecter, nous nous contentons de collecter des données à leur sujet.

Toutes ces informations ont été utilisées exclusivement à des fins d’observation passive et d’analyse des infrastructures. Au-delà de la réception d’informations de service diffusées publiquement, les experts de l’équipe GReAT (Global Research and Analysis Team) de Kaspersky n’ont pas cherché à s’authentifier, à intercepter le trafic, à exploiter les systèmes, ni à interagir de quelque manière que ce soit avec les réseaux sans fil qu’ils ont découverts. Les points d’accès mobiles installés dans les voitures et sur les appareils mobiles ont été exclus de l’échantillon.

Notre destination principale était Mexico, la capitale et l’une des villes les plus densément peuplées d’Amérique latine. Nous avons fait le tour en voiture des sites touristiques les plus populaires : le stade de Mexico, l’aéroport international de Mexico, le Zócalo, le Paseo de la Reforma, le quartier de Roma, La Condesa, Polanco et Coyoacán.

À Guadalajara et à Monterrey, nous avons emprunté des itinéraires similaires : stades, grandes avenues, aéroports et quartiers populaires. Vous trouverez ci-dessous une carte thermique des zones que nous avons couvertes, allant du rouge pour les zones présentant la plus forte densité de points d’accès publics, en passant par le jaune et le vert, jusqu’au bleu pour celles où la concentration est la plus faible.

Nous avons utilisé la reconnaissance radio passive pour recenser 84 500 signaux et 69 500 identifiants de réseau uniques dans ces trois villes. La plupart des signaux ont été captés à Mexico (61,4 %), puis à Guadalajara (23,6 %) et à Monterrey (14,8 %).

Voici ce que nous avons analysé :

• Identifiants des réseaux sans fil (SSID) : il s’agit des noms qui apparaissent dans la liste des réseaux Wi-Fi disponibles
• Informations pouvant être déduites de ces identifiants
• Configurations par défaut des routeurs et mode de déploiement des réseaux par les FAI
• Fréquences utilisées et caractéristiques du signal
• Charge des canaux et utilisation du spectre des radiofréquences
• Configurations de sécurité des réseaux sans fil :
  • Réseaux ouverts et non sécurisés
  • Réseaux avec WPS activé
  • Réseaux sécurisés (WPA2/WPA3) avec WPS activé

Vous trouverez la version complète de l’étude sur le blog de Securelist.

Noms révélateurs de points d’accès Wi-Fi publics

Les noms de réseau (SSID) peuvent en dire long, car ils révèlent souvent, sans le vouloir, des informations sur les fabricants de matériel, les fournisseurs d’accès à Internet et les méthodes de déploiement, et permettent de déterminer si un point d’accès appartient à une entreprise ou à un particulier.

Environ 34 % des réseaux Wi-Fi publics que nous avons recensés n’ont pas pris la peine de modifier leur nom, conservant soit les SSID par défaut fournis par les fabricants de routeurs, soit les conventions d’appellation standard de leurs FAI. Pour les pirates, ces informations peuvent constituer un indice très précieux, car ce type de nom de réseau leur permet de savoir à quel fournisseur appartient un point d’accès donné, quel matériel est utilisé et comment celui-ci est susceptible d’être configuré par défaut.

Un autre aspect préoccupant est le nombre important de réseaux Wi-Fi (plus de 30 %) qui utilisent l’adresse MAC du point d’accès (BSSID) comme nom de réseau visible. Les premiers octets d’un BSSID contiennent un identifiant unique d’organisation (OUI), qui permet d’identifier le fabricant du routeur. C’est une piste utile pour les pirates : ils peuvent ainsi identifier le fabricant du matériel et rechercher les failles propres aux modèles de cette marque.

Les réseaux Wi-Fi au Mexique sont-ils sécurisés ?

Un point d’accès sécurisé par WPA2/WPA3 peut être considéré comme relativement sûr. Tous les autres mécanismes d’authentification donnent des résultats bien moins satisfaisants. Nous avons classé les réseaux Wi-Fi publics en quatre catégories :

• Sécurisé (WPA2/WPA3)
• Non sécurisé (ouvert/WEP)
• Faible (WPA)
• Indéterminé

Les résultats sont globalement les mêmes dans les trois villes : environ 82 % de tous les points d’accès analysés sont protégés par des protocoles sécurisés. Le protocole WPA, obsolète et peu sûr, était pratiquement inexistant. Cependant, plus de 10 % des points d’accès se sont avérés totalement non sécurisés. La connexion à ces réseaux comporte un risque d’interception du trafic et de surveillance cachée.

Mais la sécurité ne se limite pas aux protocoles WPA. Nous avons également vérifié la présence du WPS, une fonctionnalité controversée qui permet de se connecter rapidement à un réseau sans saisir de mot de passe, mais qui est extrêmement vulnérable aux attaques. Il s’avère que la fonction WPS est activée sur près de la moitié (47 %) des points d’accès à Mexico, sur 43 % à Guadalajara et sur 41 % à Monterrey. En moyenne, 45 % des points d’accès sont potentiellement vulnérables aux attaques liées au WPS – la commodité l’emportant sur la sécurité.

De plus, cette fonctionnalité restait souvent active même sur des réseaux WPA2/WPA3 en apparence sécurisés : environ la moitié d’entre eux utilisaient le WPS. Cela montre que la prise en charge des normes WPA2/WPA3 ne suffit pas à garantir la sécurité d’un point d’accès Wi-Fi, car des fonctionnalités supplémentaires telles que le WPS peuvent toujours laisser la porte ouverte à des attaques.

Ce que tout touriste doit savoir d’autre

Les risques liés au numérique lors d’un voyage ne se limitent pas au Wi-Fi public, d’autant plus que beaucoup délaissent désormais le Wi-Fi public au profit d’une eSIM. Les menaces restent nombreuses dans les lieux très fréquentés : chargeurs USB publics, codes QR contenant des faux liens, attaques via NFC et Bluetooth, sans oublier, bien entendu, les techniques d’ingénierie sociale. Voyons tout cela de plus près.

Bornes de recharge. Les chargeurs USB publics peuvent également présenter un danger : des personnes mal intentionnées pourraient accéder aux données stockées sur votre appareil ou tenter d’y installer des programmes malveillants. Nous avons abordé ces attaques en détail dans notre article intitulé Vol de données pendant le chargement d’un smartphone.

Codes QR dangereux. Les malfaiteurs peuvent dissimuler des codes QR de phishing dans des lieux touristiques très fréquentés. Les prétextes peuvent être très variés. Il peut s’agir, par exemple, de publicités pour des  » événements  » destinés aux supporters d’une équipe en particulier, ou de liens censés proposer des réductions ou des menus de restaurant. En réalité, tout code QR affiché dans la rue peut être considéré comme non sécurisé par défaut, et vous ne devriez pas le scanner avec votre smartphone à moins d’avoir installé un outil d'analyse des menaces liées aux codes QR.

Fausses retransmissions, faux billets et faux paris. Nous avons précédemment évoqué des cas où des cybercriminels diffusaient des programmes malveillants via de fausses applications IPTV afin de tirer profit de l’engouement suscité par la Coupe du monde 2026. N’oubliez pas que, même si vous comptez regarder le tournoi depuis chez vous, vous devez rester vigilant et ne pas vous fier aux premiers sites qui proposent des retransmissions gratuites, organisent des paris ou promettent des gains incroyablement élevés.

Attaques par NFC et Bluetooth. Laisser le Bluetooth activé dans les lieux très fréquentés peut également poser des problèmes : quelqu’un pourrait tenter de détecter votre appareil, de vous suivre à la trace ou de vous envoyer une demande de couplage non sollicitée. Les services NFC avec paiement sans contact comportent également des risques supplémentaires, surtout lorsque vous effectuez des paiements dans des endroits peu sûrs.

Comment vous protéger, vous et vos appareils

Bien que les points d’accès Wi-Fi publics sécurisés par WPA2/WPA3 soient très répandus à Mexico, Guadalajara et Monterrey, notre étude montre que les réseaux Wi-Fi publics restent vulnérables. Il est également important de garder à l’esprit que les pirates sont capables de créer de faux réseaux, appelés jumeaux maléfiques, qui se font passer pour des réseaux Wi-Fi publics légitimes dans les aéroports, les hôtels, les cafés et les sites touristiques.

Pour l’utilisateur lambda, il est pratiquement impossible de savoir si un point d’accès donné est sûr lorsqu’il tente de s’y connecter. C’est pourquoi la solution la plus sûre consiste à utiliser les données mobiles pour se connecter à Internet, ce qui évite complètement d’avoir recours au réseau Wi-Fi. De plus, il n’est pas nécessaire de se renseigner sur les subtilités des lois locales, des tarifs et autres détails relatifs à la téléphonie mobile pour chaque pays que vous comptez visiter : il vous suffit d’acheter une eSIM internationale en ligne en deux clics. Nous avons expliqué comment simplifier l’ensemble du processus dans notre article intitulé Internet où que vous soyez avec Kaspersky eSIM Store.

Si vous comptez tout de même vous connecter à un réseau Wi-Fi public, utilisez toujours un VPN pour protéger votre appareil et vos données lorsque vous vous connectez à des réseaux Wi-Fi inconnus, en particulier ceux qui ne sont pas sécurisés. Un VPN crée un tunnel chiffré entre votre appareil et le serveur VPN, ce qui rend impossible toute interception de vos données pendant leur transit. Vous n’avez pas encore choisi de VPN ? Essayez Kaspersky VPN Secure Connection, qui est inclus dans les abonnements Kaspersky Premium et Kaspersky Plus.

Si vous comptez tout de même vous rendre à la Coupe du monde sans aucune solution de cybersécurité, respectez au moins les règles élémentaires d’hygiène numérique suivantes :

• N’utilisez pas de chargeurs USB publics
• N’envoyez pas d’informations sensibles via des connexions non sécurisées
• Ne vous connectez pas à vos comptes bancaires, à votre messagerie électronique, ni aux réseaux sociaux via un réseau Wi-Fi non sécurisé
• Désactivez le Bluetooth et le NFC lorsque vous vous déplacez dans des lieux très fréquentés
• Méfiez-vous des codes QR affichés dans la rue
• Ne vous connectez à un réseau Wi-Fi public qu’en cas d’absolue nécessité

Autres lectures pour profiter de votre équipe favorite en toute sécurité, sans perdre l’excitation :

• Ne laissez pas les fausses applications IPTV gâcher votre Coupe du monde
• Les menaces informatiques dans le monde du football
• Comment regarder les compétitions de football en toute sécurité ?
• Voyager confortablement et en toute sécurité
• Sécurité Airbnb : conseils pour voyager en toute sécurité