Otevřete si notebook v hotelovém pokoji nebo na konferenci, kliknete na ikonu Wi-Fi a vyskočí okno prohlížeče, které vás vyzve k přihlášení nebo přijetí podmínek, než se dostanete online. Většinou je to naprosto normální – říká se tomu captive portál (přihlašovací portál) a hotely, letiště a konferenční centra ho používají k tomu, aby řídily přístup ke své síti. Jenže tatáž přihlašovací stránka je zároveň téměř dokonalou maskou pro útočníka – protože ji očekáváte, spěcháte a nemáte žádný způsob, jak si nezávisle ověřit, kdo stránku, na kterou se díváte, ve skutečnosti vytvořil.

Výzkumníci ze společnosti Microsoft nedávno odhalili kampaň sledovanou pod názvem „CaptiveCrunch", při níž se útočníci umístili přímo do hotelových a konferenčních Wi-Fi sítí a manipulovali s provozem, který cestující v tuto přesnou chvíli viděli – přesměrovávali relace captive portálu na falešné přihlašovací stránky (včetně přesvědčivých padělaných přihlašovacích obrazovek Microsoftu) navržené tak, aby získaly hesla, kódy zařízení a OAuth tokeny, případně zobrazovali falešná okna „je nutná aktualizace", která instalují malware pro vzdálený přístup schopný číst stisky kláves a aktivovat webkameru nebo mikrofon. Nejde o to, že by každé přihlášení k hotelové Wi-Fi bylo pastí – naprostá většina jich pastí není. Jde o to, že právě tento konkrétní okamžik, kdy se od vás očekává, že do neznámé stránky něco napíšete ještě předtím, než se vůbec dostanete online, je snadným cílem, a proto se vyplatí mít pro něj zavedený postup.

Proč je tento okamžik jiný než běžný phishing

Běžné školení o phishingu vám radí zkontrolovat odesílatele, najet myší na odkazy a hledat ikonu zámku. Captive portály ale narušují většinu těchto návyků. Na stránku jste nepřešli sami – vaše zařízení na ni bylo automaticky přesměrováno. Není tu žádná adresa „Od:", kterou byste mohli zkontrolovat. Stránka se často načte bez viditelného běžného adresního řádku (některé operační systémy ji otevřou v odlehčeném okně prohlížeče) a navíc se možná nacházíte v síti, kterou nemáte pod kontrolou a nemůžete ji nijak ověřit – takže i zdánlivě správný zámek u HTTPS vám řekne pouze to, že připojení k dané stránce je šifrované, nikoli že je stránka samotná legitimní nebo že síť nijak neupravuje to, co vidíte.

O co by legitimní captive portál měl – a neměl – žádat

Pokaždé, když se taková stránka objeví, použijte tento základní filtr:

  • Normální: vaše příjmení a číslo pokoje, konferenční jmenovka nebo registrační kód, souhlas s podmínkami služby, e-mailová adresa pro zaslání účtenky nebo jednorázový kód zaslaný SMS pro ověření, že jste platícím hostem.
  • Nenormální: požadavek na přihlášení pomocí vašeho účtu Microsoft, Google, Apple nebo firemní identity. Skutečný systém Wi-Fi v daném zařízení nemá žádný legitimní důvod potřebovat vaše heslo k Microsoftu, aby vám udělil přístup k internetu.
  • Nenormální: výzva k zadání „kódu zařízení", který se vám zobrazí jinde, nebo stránka s textem typu „přejděte na microsoft.com/devicelogin a zadejte tento kód". Jde o skutečnou funkci Microsoftu (používanou k přihlašování zařízení, jako jsou chytré televize), kterou útočníci zneužívají právě proto, že jim umožňuje ovládnout váš účet, aniž by kdy viděli vaše heslo. Pokud vás přihlašovací stránka Wi-Fi provádí procesem zadání kódu zařízení, zastavte se – zavřete prohlížeč a nepokračujte.
  • Nenormální: jakékoli vyskakovací okno tvrdící, že váš prohlížeč nebo Windows potřebuje naléhavou aktualizaci, zejména pokud vás žádá, abyste zkopírovali příkaz a vložili ho do okna „Spustit" nebo do terminálu za účelem „opravy" připojení. Tento vzorec (někdy nazývaný ClickFix) je běžný způsob, jak lidi nalákat, aby si malware nainstalovali sami, a žádný legitimní Wi-Fi portál nikdy nepotřebuje, abyste spouštěli nějaký příkaz.

Krok za krokem: jak se bezpečně připojit

  1. Před cestou vypněte automatické připojování k otevřeným sítím. V telefonu: Nastavení → Wi-Fi → vypněte „Automatické připojování" nebo „Auto-Connect" pro otevřené/nezabezpečené sítě (přesné znění se u jednotlivých zařízení liší). Tím zabráníte tomu, aby se vaše zařízení později bez vašeho vědomí tiše připojilo k podvodné síti s podobným názvem.
  2. Zapomeňte staré veřejné sítě, které už nepoužíváte. Pokud máte v notebooku nebo telefonu uloženou síť „Airport_Free_WiFi" nebo starou hotelovou síť, smažte ji. Útočníci mohou vysílat síť se stejným názvem (tzv. „evil twin") a vaše zařízení se k ní může automaticky připojit, protože název rozpozná.
  3. Když se připojujete ke skutečné síti, označte ji jako veřejnou/nedůvěryhodnou. Windows i macOS se při připojení k nové síti zeptají, zda jde o síť „veřejnou", nebo „soukromou"/„důvěryhodnou" – zvolte veřejnou. Tím se vypne sdílení souborů a zjišťování sítě, což omezuje, co dalšího v dané síti může vaše zařízení vidět nebo se k němu dostat.
  4. Než cokoli napíšete, přečtěte si stránku portálu. Porovnejte ji se seznamem „normální vs. nenormální" výše. Pokud žádá o přihlášení přes poskytovatele identity, kód zařízení nebo chce, abyste spustili příkaz, zavřete kartu a místo toho se na recepci nebo u registračního pultu zeptejte na správný název sítě a heslo – nevěřte tomu, že vám název sítě prozradí sama stránka.
  5. Zadávejte jen to nejnutnější, co portál vyžaduje – obvykle číslo pokoje, příjmení nebo kód, který vám byl fyzicky předán. Nikdy nezadávejte heslo ke svému e-mailu ani účet, který používáte jinde.
  6. Jakmile projdete portálem, zapněte ještě předtím, než uděláte cokoli jiného, VPN. Toto je jednoznačně nejúčinnější krok, protože i kdyby byla samotná síť nepřátelská, vše, co následuje, je poté šifrováno v tunelu, který provozovatel sítě (nebo útočník v ní) nemůže číst ani přesměrovat. Udělejte to dřív, než začnete kontrolovat e-maily, přihlašovat se kamkoli nebo otevírat bankovní aplikace.
  7. Pokud VPN nemáte, citlivá přihlášení si nechte na později, nebo místo toho použijte mobilní data telefonu. Když z telefonu uděláte osobní hotspot a notebook k němu na chvíli připojíte, síti daného místa se u čehokoli citlivého – bankovnictví, pracovní e-mail, odemykání správce hesel – zcela vyhnete.
  8. Až budete odjíždět, síť zapomeňte (v telefonu i v notebooku), místo abyste ji nechali napořád viset v seznamu uložených sítí.

Pokud si myslíte, že jste už na něco takového naletěli

Pokud jste na přihlašovací stránce Wi-Fi zadali heslo k účtu Microsoft, Google nebo jinému, nebo jste dokončili výzvu k zadání kódu zařízení, kterou jste sami neiniciovali, považujte účet za napadený: heslo okamžitě změňte z důvěryhodné sítě nebo zařízení, zkontrolujte v účtu nedávnou přihlašovací aktivitu i připojená zařízení/relace a odhlaste vše, co nepoznáváte, a projděte si připojené aplikace neboli „aplikace s přístupem k vašemu účtu", zda mezi nimi není něco, co jste neschválili – phishing prostřednictvím kódu zařízení totiž útočníkovi udělí token, aniž by kdy potřeboval vaše heslo, takže samotná změna hesla jeho přístup nemusí odstranit. Pokud jste proklikli okno „aktualizovat nyní" nebo spustili příkaz z vyskakovacího okna, odpojte dané zařízení od internetu a považujte ho za potenciálně nakažené, dokud nebude zkontrolováno nebo znovu nainstalováno – payloady popisované u tohoto typu kampaně totiž zahrnovaly i nástroje schopné zaznamenávat stisky kláves a aktivovat webkameru nebo mikrofon.

Co si z toho odnést

Captive portál sám o sobě není podezřelý – je to normální, nudná součást cestování. Co mění míru rizika, je to, o co vás žádá. Stránka, která chce vaše číslo pokoje, dělá svou práci. Stránka, která chce vaše heslo k Microsoftu, kód zařízení nebo příkaz vložený do terminálu, už není přihlašovací obrazovkou Wi-Fi – je to phishingová stránka, která si takovou obrazovku jen obléká jako kostým. Znát ten rozdíl a u čehokoli citlivého sáhnout po VPN nebo hotspotu z telefonu, uzavírá přesně ten okamžik, na kterém tento typ útoku závisí.