Un réseau Wi-Fi pirate à 10 000 mètres d'altitude

Le 10 août 2026, peu après la clôture de la DEF CON 34 à Las Vegas, un incident de cybersécurité inhabituel s'est produit à bord du vol Delta Air Lines 591, reliant l'aéroport international Harry Reid (Las Vegas) à Atlanta. Selon plusieurs médias américains ayant consulté des messages internes de l'avion, un ou plusieurs passagers auraient déployé un réseau Wi-Fi pirate en plein vol, vraisemblablement pour intercepter les identifiants des autres voyageurs.

Delta Air Lines a confirmé l'incident à BleepingComputer et CyberScoop, précisant qu'« un réseau Wi-Fi non autorisé, qui n'avait pas été fourni, exploité ni approvisionné par Delta, était présent à bord de l'appareil pendant une courte durée durant le vol ». La compagnie a souligné que « la sécurité du vol n'a à aucun moment été compromise et qu'aucun système opérationnel de l'appareil n'a été affecté ».

L'avion, un Boeing 757 transportant 199 passagers et 6 membres d'équipage, devait initialement décoller le dimanche 10 août, mais n'a quitté Las Vegas qu'à 8 h 30 le lundi matin, selon CyberScoop. Aucun emergency n'a été déclaré auprès du contrôle aérien.

Messages ACARS : « ils essaient d'arnaquer les autres passagers »

Le détail le plus troublant de cette affaire provient des messages ACARS (Aircraft Communications Addressing and Reporting System) échangés entre l'équipage et le personnel au sol. Un technicien aéronautique basé à Nairobi, connu en ligne sous le pseudonyme de « Turbine Traveller », a rendu publics ces messages relayés par BleepingComputer :

« Nous avons un groupe de PAX [passagers] qui étaient à une conférence de cybersécurité à Las… Ils ont réussi à brouiller notre Wi-Fi et à diffuser leur propre signal. »

« Nous avons un PAX qui a créé un Wi-Fi arnaque appelé Delta WiFi Fast. Nous pensons qu'ils essaient d'arnaquer les autres PAX. »

D'après TechCrunch, les pilotes ont envoyé deux messages en vol au contrôle aérien pour signaler qu'un passager avait « créé un Wi-Fi frauduleux » conçu pour imiter le réseau sans fil légitime de l'avion.

Attaque par déauthentification et « evil twin » : le mécanisme

L'incident présente les caractéristiques classiques d'une attaque « evil twin » couplée à une attaque par déauthentification Wi-Fi, comme l'expliquent à la fois BleepingComputer et CyberScoop :

  1. Déauthentification (deauth) : l'attaquant observe le trafic sans fil pour identifier l'adresse MAC du point d'accès légitime, puis forge des trames de déauthentification en se faisant passer pour ce point d'accès. En envoyant ces trames en continu, il déconnecte répétitivement les clients du réseau légitime, provoquant un déni de service.
  2. Rogue AP / evil twin : un point d'accès pirate clône le nom (SSID) et les paramètres du réseau légitime. Une fois les appareils déconnectés du vrai réseau, ils se reconnectent automatiquement au réseau pirate.
  3. Interception : une fois connectés au point d'accès pirate, les victimes peuvent voir leur trafic non chiffré surveillé, faire l'objet d'attaques de l'homme du milieu (man-in-the-middle), ou être redirigées vers des portails captifs contrefaits conçus pour voler des identifiants.

C'est précisément ce dernier scénario qui semble s'être produit. Selon Mary Perrault, membre de groupes de voyageurs fréquents en ligne mais sans affiliation officielle avec Delta, le faux réseau Wi-Fi affichait une page de phishing qui collectait « des identifiants personnels et des données de connexion Google ».

Les réseaux implémentant le standard Protected Management Frames (PMF / 802.11w) peuvent atténuer ce type d'attaque par usurpation de trames de gestion.

Réaction de l'équipage et intervention des autorités

Alerté par la présence du réseau non autorisé, l'équipage de cabine a désactivé la fonctionnalité Wi-Fi de l'appareil pendant environ 30 minutes. À l'atterrissage, une fois l'avion parqué à la porte d'embarquement, les autorités fédérales et la police de l'aéroport ont investi l'appareil pour interroger les suspects et saisir le matériel Wi-Fi portable, toujours selon Mary Perrault.

Morgan Durrant, porte-parole de Delta, a déclaré à la fois à TechCrunch et à CyberScoop :

« Nous menons une enquête complète pour réunir un ensemble complet de faits, ce qui prendra du temps. Nous nous associerons aux forces de l'ordre fédérales et aux régulateurs de l'aviation pour garantir que l'incident soit examiné à fond. Nous remercions notre équipage pour son professionnalisme et nos clients pour leur compréhension. »

FBI, FAA, TSA : des versions qui divergent légèrement

Les réponses des agences varient selon les sources, un point que le croisement des articles met en lumière :

  • CyberScoop indique que le bureau d'Atlanta du FBI ainsi que la FAA ont déclaré être au courant de l'incident, sans fournir de commentaire supplémentaire. La Transportation Security Administration (TSA) a renvoyé CyberScoop vers le FBI, et Homeland Security Investigations n'a pas répondu.
  • TechCrunch rapporte de son côté que la police d'Atlanta a renvoyé les questions vers les autorités fédérales, que le FBI n'avait « pas immédiatement répondu », et que Steve Kulm, porte-parole de la FAA, a déclaré que l'agence n'avait pas reçu de rapport sur l'incident.

Cette divergence — FAA « au courant » selon CyberScoop mais « pas de rapport reçu » selon TechCrunch — suggère soit un décalage temporel dans les prises de contact, soit une distinction entre une information informelle et un signalement officiel. L'enquête, encore en cours au 11 août, devrait clarifier ces points.

Le lien avec DEF CON 34

Le vol transportait de nombreux passagers revenant de la DEF CON 34, l'une des plus grandes conventions de hackers au monde, qui s'est tenue du 6 au 9 août 2026 au Las Vegas Convention Center. L'édition 2026 avait pour thème « Agency » (« l'autonomie ») et s'est conclue le dimanche soir.

Si l'attribution précise aux participants de DEF CON n'est pas formellement établie — l'un des commentaires sous l'article de BleepingComputer rappelle à juste titre qu'« on ne peut même pas affirmer avec certitude qu'il s'agissait d'un participant de DEF CON » —, Monika Hathaway, responsable de presse de DEF CON, a livré à CyberScoop un témoignage particulièrement révélateur :

« Notre conférence cette année a également souffert de plusieurs attaques Wi-Fi de « déauthentification » similaires, et cela a affecté certaines de nos opérations. Si nous avions surpris quelqu'un en train de faire ça à DEF CON, nous l'aurions expulsé et banni de la conférence. »

Hathaway a précisé que ni Delta ni les autorités fédérales n'avaient contacté DEF CON au sujet de l'incident.

Wi-Fi Pineapple et outils grand public

TechCrunch souligne qu'il est très simple de créer un réseau Wi-Fi malveillant à l'aide d'outils commercialement disponibles comme le Wi-Fi Pineapple, un appareil vendu par l'entreprise Hak5. Conçu pour les tests d'intrusion professionnels, ce boîtier portable — alimenté par USB-C, doté de plusieurs antennes et proposé à partir de quelques centaines de dollars — permet de :

  • cloner des réseaux préférés (rogue access point) via la suite « PineAP » ;
  • capturer les handshakes WPA/WPA2 et imiter des points d'accès d'entreprise ;
  • mener des attaques par déauthentification ;
  • afficher des portails captifs pour récupérer des identifiants et des données personnelles (PII).

Le fabricant précise toutefois que l'appareil est destiné « uniquement à des fins d'audit et d'analyse de sécurité autorisées » et que les utilisateurs sont « seuls responsables du respect des lois » locales. Aucune source n'a confirmé que l'outil utilisé à bord du vol 591 était effectivement un Wi-Fi Pineapple.

Enjeux et précédents

Ce type d'incident rappelle que le Wi-Fi de bord reste un point faible : il s'agit d'un réseau partagé, souvent sans authentification forte au niveau de la liaison, où les passagers se connectent à un portail captif pour accéder à Internet. Les compagnies aériennes utilisent généralement des systèmes de communication satellite (Viasat, Intelsat, Starlink…) qui alimentent un point d'accès à bord, mais la couverture Wi-Fi elle-même reste comparable à celle d'un café public.

Plusieurs éléments distinguent toutefois cette affaire d'un simple « script kiddie » jouant avec aircrack-ng :

  • l'attaque s'est produite en plein vol, dans un environnement réglementé où toute interférence avec les systèmes de l'appareil est prise au sérieux ;
  • le réseau pirate portait un nom imitant celui de Delta (« Delta WiFi Fast »), suggérant une intention d'usurpation et de phishing plutôt qu'une simple démonstration technique ;
  • une page de collecte d'identifiants Google a été signalée, ce qui rapproche l'incident d'une opération de vol de credentials potentiellement destinée à un revente ou à des accès ultérieurs.

Sur le plan juridique, mener une telle opération sans autorisation à bord d'un aéronef commercial expose ses auteurs à des poursuites au titre des lois fédérales américaines sur la fraude informatique (Computer Fraud and Abuse Act) et sur les communications, ainsi qu'éventuellement à des chefs liés à l'aviation. La saisie du matériel à l'arrivée suggère que les autorités prennent l'affaire au sérieux.

Ce qu'il faut retenir

  • L'incident n'a jamais menacé la sécurité du vol ni les systèmes de navigation de l'appareil, comme l'a souligné Delta à plusieurs reprises.
  • L'enquête est toujours en cours au 12 août 2026, menée en lien avec les forces de l'ordre fédérales et les régulateurs de l'aviation.
  • Le FBI d'Atlanta et la FAA seraient au courant selon CyberScoop, même si TechCrunch rapporte que la FAA n'avait pas reçu de rapport formel au moment de sa publication.
  • DEF CON 34 a elle-même subi des attaques similaires pendant l'événement, selon sa responsable de presse.
  • L'affaire illustre la facilité technique de ce type d'attaque (deauth + evil twin) sur des réseaux Wi-Fi publics, y compris en avion, et l'importance pour les voyageurs de ne jamais saisir d'identifiants sensibles sur un portail captif de Wi-Fi public sans vérification du réseau, et de privilégier un VPN.

Le vol concerné n'a fait l'objet d'aucune couverture médiatique francophone majeure au 12 août 2026 ; cet article s'appuie sur les sources anglophones publiées le 11 août.