होटल का वाई-फाई लॉगिन पेज: कहीं यह फिशिंग तो नहीं?

आप किसी होटल के कमरे या कॉन्फ्रेंस हॉल में अपना लैपटॉप खोलते हैं, Wi-Fi आइकन पर क्लिक करते हैं, और एक ब्राउज़र विंडो खुल जाती है जो आपसे ऑनलाइन होने से पहले लॉगिन करने या शर्तें स्वीकार करने को कहती है। ज़्यादातर मामलों में यह पूरी तरह सामान्य है — इसे कैप्टिव पोर्टल कहा जाता है, और होटल, हवाई अड्डे और कॉन्फ्रेंस सेंटर अपने नेटवर्क तक पहुंच को नियंत्रित करने के लिए इनका इस्तेमाल करते हैं। लेकिन यही लॉगिन पेज एक हमलावर के लिए लगभग परफेक्ट भेस भी है, क्योंकि आप इसे देखने की उम्मीद पहले से रखते हैं, आप जल्दी में होते हैं, और आपके पास यह स्वतंत्र रूप से सत्यापित करने का कोई तरीका नहीं होता कि जो पेज आप देख रहे हैं उसे असल में किसने बनाया है।

माइक्रोसॉफ्ट के शोधकर्ताओं ने हाल ही में एक अभियान का खुलासा किया, जिसे "CaptiveCrunch" के नाम से ट्रैक किया जा रहा है, जिसमें हमलावरों ने खुद को होटल और कॉन्फ्रेंस के Wi-Fi नेटवर्क के भीतर स्थापित किया और उस सटीक क्षण में यात्रियों को दिखने वाले ट्रैफिक में हेरफेर किया — कैप्टिव-पोर्टल सत्रों को नकली लॉगिन पेजों (जिनमें असली जैसी दिखने वाली नकली माइक्रोसॉफ्ट साइन-इन स्क्रीनें भी शामिल थीं) की ओर रीडायरेक्ट करके, जो पासवर्ड, डिवाइस कोड और OAuth टोकन चुराने के लिए डिज़ाइन की गई थीं, या नकली "अपडेट आवश्यक है" डायलॉग बॉक्स दिखाकर, जो रिमोट-एक्सेस मैलवेयर इंस्टॉल करते थे जो कीस्ट्रोक पढ़ने और वेबकैम या माइक्रोफोन चालू करने में सक्षम था। बात यह नहीं है कि हर होटल का Wi-Fi लॉगिन एक जाल है — ज़्यादातर तो नहीं होते। बात यह है कि यह खास क्षण, जब आपसे ऑनलाइन होने से पहले ही किसी अनजान पेज पर कुछ टाइप करने की उम्मीद की जाती है, एक कमज़ोर निशाना है, और इसके लिए एक नियमित तरीका अपनाना समझदारी है।

यह क्षण सामान्य फ़िशिंग से अलग क्यों है

सामान्य फ़िशिंग प्रशिक्षण आपको भेजने वाले की जांच करने, लिंक पर होवर करने, पैडलॉक देखने की सलाह देता है। कैप्टिव पोर्टल इनमें से ज़्यादातर आदतों को बेकार कर देते हैं। आपने खुद उस पेज पर नेविगेट नहीं किया — आपके डिवाइस को अपने आप वहां रीडायरेक्ट कर दिया गया। जांचने के लिए कोई "From:" पता नहीं होता। पेज अक्सर बिना किसी सामान्य एड्रेस बार के लोड होता है (कुछ ऑपरेटिंग सिस्टम इसे एक सीमित ब्राउज़र विंडो में खोलते हैं), और हो सकता है आप ऐसे नेटवर्क पर हों जिस पर आपका कोई नियंत्रण नहीं है और जिसे आप सत्यापित नहीं कर सकते, इसलिए सही दिखने वाला HTTPS पैडलॉक भी सिर्फ यह बताता है कि उस पेज से कनेक्शन एन्क्रिप्टेड है — यह नहीं कि पेज खुद वैध है या नेटवर्क आपको जो दिखा रहा है उसमें हेरफेर नहीं कर रहा।

एक वैध कैप्टिव पोर्टल को क्या मांगना चाहिए — और क्या नहीं

जब भी ऐसा कोई पेज सामने आए, इसे अपने आधार फ़िल्टर के तौर पर इस्तेमाल करें:

• सामान्य: आपका उपनाम और कमरा नंबर, कॉन्फ्रेंस बैज या रजिस्ट्रेशन कोड, सेवा शर्तों को स्वीकार करना, रसीद के लिए ईमेल पता, या यह सत्यापित करने के लिए टेक्स्ट से भेजा गया वन-टाइम कोड कि आप एक भुगतान करने वाले मेहमान हैं।
• असामान्य: आपके माइक्रोसॉफ्ट, गूगल, ऐपल, या कॉर्पोरेट पहचान खाते से साइन इन करने का अनुरोध। किसी असली स्थल के Wi-Fi सिस्टम को आपको इंटरनेट एक्सेस देने के लिए आपके माइक्रोसॉफ्ट पासवर्ड की ज़रूरत होने की कोई वैध वजह नहीं है।
• असामान्य: कहीं और दिखाए गए "डिवाइस कोड" को दर्ज करने का प्रॉम्प्ट, या ऐसा पेज जो कुछ इस तरह कहे कि "microsoft.com/devicelogin पर जाएं और यह कोड दर्ज करें।" यह माइक्रोसॉफ्ट की एक असली सुविधा है (जिसका इस्तेमाल स्मार्ट टीवी जैसे डिवाइसों में साइन इन करने के लिए किया जाता है), जिसका हमलावर खासतौर पर इसलिए दुरुपयोग करते हैं क्योंकि इससे वे आपका पासवर्ड देखे बिना ही आपका खाता हाईजैक कर सकते हैं। अगर कोई Wi-Fi लॉगिन पेज आपको डिवाइस-कोड प्रक्रिया से गुज़ार रहा है, तो रुक जाएं — ब्राउज़र बंद करें और आगे न बढ़ें।
• असामान्य: कोई भी पॉप-अप जो कहे कि आपके ब्राउज़र या विंडोज़ को तुरंत अपडेट की ज़रूरत है, खासकर वह जो आपसे कनेक्शन "ठीक" करने के लिए एक कमांड कॉपी करके "Run" बॉक्स या टर्मिनल में पेस्ट करने को कहे। यह पैटर्न (जिसे कभी-कभी ClickFix कहा जाता है) लोगों को खुद अपने हाथों से मैलवेयर इंस्टॉल कराने का एक आम तरीका है, और किसी भी वैध Wi-Fi पोर्टल को कभी भी आपसे कोई कमांड चलवाने की ज़रूरत नहीं होती।

चरण-दर-चरण: सुरक्षित रूप से कनेक्ट करना

1. यात्रा पर जाने से पहले, ओपन नेटवर्क के लिए ऑटो-जॉइन बंद कर दें। अपने फोन पर: सेटिंग्स → Wi-Fi → ओपन/असुरक्षित नेटवर्क के लिए "Auto-Join" या "Auto-Connect" बंद करें (सटीक शब्दावली डिवाइस के हिसाब से अलग हो सकती है)। इससे आपका डिवाइस बाद में मिलते-जुलते नाम वाले किसी दुर्भावनापूर्ण नेटवर्क से बिना आपकी जानकारी के चुपचाप दोबारा कनेक्ट होने से रुक जाता है।
2. पुराने सार्वजनिक नेटवर्क जिन्हें आप अब इस्तेमाल नहीं करते, उन्हें भुला दें (forget)। अगर आपके लैपटॉप या फोन में "Airport_Free_WiFi" या कोई पुराना होटल नेटवर्क सेव है, तो उसे हटा दें। हमलावर उसी नाम से एक नेटवर्क प्रसारित कर सकते हैं (एक "ईविल ट्विन"), और आपका डिवाइस नाम पहचानने की वजह से अपने आप उससे कनेक्ट हो सकता है।
3. जब आप असली नेटवर्क से जुड़ें, तो उसे सार्वजनिक/अविश्वसनीय (public/untrusted) के रूप में चिह्नित करें। Windows और macOS दोनों ही पूछते हैं कि नया नेटवर्क "सार्वजनिक" है या "निजी"/"विश्वसनीय" — सार्वजनिक चुनें। इससे फ़ाइल शेयरिंग और नेटवर्क डिस्कवरी बंद हो जाती है, जिससे उस नेटवर्क पर मौजूद बाकी चीज़ें आपके डिवाइस को कम देख या उस तक पहुंच पाती हैं।
4. कुछ भी टाइप करने से पहले पोर्टल पेज को ध्यान से पढ़ें। इसे ऊपर दी गई "सामान्य बनाम असामान्य" सूची से मिलाकर जांचें। अगर यह किसी पहचान-प्रदाता (identity-provider) से लॉगिन, डिवाइस कोड मांगे, या आपसे कोई कमांड चलवाना चाहे, तो टैब बंद कर दें, और इसके बजाय फ्रंट डेस्क या रजिस्ट्रेशन टेबल से सही नेटवर्क का नाम और पासवर्ड नाम लेकर पूछें — किसी पेज पर यह भरोसा न करें कि नेटवर्क का नाम क्या है।
5. पोर्टल को जितनी न्यूनतम जानकारी चाहिए, सिर्फ उतनी ही दर्ज करें — आमतौर पर कमरा नंबर, उपनाम, या वह कोड जो आपको सीधे हाथों-हाथ दिया गया हो। कभी भी अपना ईमेल पासवर्ड या किसी और जगह इस्तेमाल होने वाला खाता दर्ज न करें।
6. पोर्टल से गुज़र जाने के बाद, कुछ और करने से पहले VPN चालू करें। यह सबसे कारगर कदम है, क्योंकि इसका मतलब है कि भले ही नेटवर्क खुद ही दुर्भावनापूर्ण हो, इसके बाद की हर चीज़ एक ऐसी टनल में एन्क्रिप्टेड रहती है जिसे नेटवर्क ऑपरेटर (या उस पर मौजूद कोई हमलावर) न तो पढ़ सकता है और न ही रीडायरेक्ट कर सकता है। ईमेल चेक करने, कहीं लॉगिन करने, या बैंकिंग ऐप खोलने से पहले यह ज़रूर करें।
7. अगर आपके पास VPN नहीं है, तो संवेदनशील लॉगिन बाद के लिए टाल दें या इसके बजाय अपने फोन के मोबाइल डेटा का इस्तेमाल करें। अपने फोन को पर्सनल हॉटस्पॉट बनाकर और अपने लैपटॉप को उससे जोड़कर, भले ही थोड़ी देर के लिए ही सही, आप किसी भी संवेदनशील काम — बैंकिंग, ऑफिस ईमेल, पासवर्ड मैनेजर अनलॉक — के लिए स्थल के नेटवर्क से पूरी तरह बच जाते हैं।
8. जब आप वहां से निकलें, तो नेटवर्क को भुला दें (forget) (फोन और लैपटॉप दोनों पर), बजाय इसके कि उसे अपनी सेव्ड-नेटवर्क सूची में हमेशा के लिए पड़ा रहने दें।

अगर आपको लगता है कि आप पहले ही इसका शिकार हो चुके हैं

अगर आपने किसी Wi-Fi लॉगिन पेज में अपना माइक्रोसॉफ्ट, गूगल, या किसी अन्य खाते का पासवर्ड डाल दिया है, या ऐसा डिवाइस-कोड प्रॉम्प्ट पूरा कर दिया है जिसे आपने खुद शुरू नहीं किया था, तो उस खाते को खतरे में मानें: किसी विश्वसनीय नेटवर्क या डिवाइस से तुरंत वह पासवर्ड बदलें, खाते की हाल की साइन-इन गतिविधि और जुड़े हुए डिवाइस/सत्र जांचें और जो कुछ भी आप नहीं पहचानते उसे साइन आउट करें, और अपनी अनुमति के बिना जुड़े किसी भी ऐप या "आपके खाते तक पहुंच रखने वाले ऐप्स" की समीक्षा करें — डिवाइस-कोड फ़िशिंग खासतौर पर हमलावर को बिना पासवर्ड की ज़रूरत के ही एक टोकन दे देती है, इसलिए सिर्फ पासवर्ड बदलने से उनकी पहुंच खत्म नहीं हो सकती। अगर आपने किसी पॉप-अप से "अभी अपडेट करें" पर क्लिक किया या कोई कमांड चलाई, तो उस डिवाइस को इंटरनेट से डिस्कनेक्ट करें और जब तक उसे स्कैन या दोबारा सेटअप न कर लिया जाए, तब तक उसे संभावित रूप से संक्रमित मानें, क्योंकि इस तरह के अभियान में बताए गए पेलोड में ऐसे टूल शामिल रहे हैं जो कीस्ट्रोक लॉग करने और वेबकैम या माइक्रोफोन चालू करने में सक्षम हैं।

सार यह है

कैप्टिव पोर्टल अपने आप में संदिग्ध नहीं होता — यह यात्रा का एक सामान्य, उबाऊ हिस्सा है। जो चीज़ जोखिम बदलती है, वह यह है कि वह आपसे क्या करने को कहता है। जो पेज आपका कमरा नंबर मांगता है, वह अपना काम कर रहा है। लेकिन जो पेज आपका माइक्रोसॉफ्ट पासवर्ड, डिवाइस कोड, या टर्मिनल में पेस्ट की जाने वाली कोई कमांड मांगता है, वह अब Wi-Fi लॉगिन स्क्रीन नहीं रहता — वह एक फ़िशिंग पेज है जिसने उसका भेस पहन रखा है। यह फर्क पहचानना, और किसी भी संवेदनशील काम के लिए VPN या अपने फोन के हॉटस्पॉट का सहारा लेना, ठीक उसी क्षण को बंद कर देता है जिस पर इस तरह का हमला निर्भर करता है।