Apri il portatile in una camera d'albergo o in una sala conferenze, clicchi sull'icona del Wi-Fi e si apre una finestra del browser che ti chiede di accedere o di accettare i termini prima di poterti collegare. Nella maggior parte dei casi è del tutto normale — si chiama captive portal, ed è ciò che alberghi, aeroporti e centri congressi usano per regolare l'accesso alla loro rete. Ma quella stessa pagina di login è anche un travestimento quasi perfetto per un aggressore, perché te ne aspetti una, hai fretta e non hai modo di verificare in autonomia chi abbia effettivamente costruito la pagina che stai guardando.
I ricercatori di Microsoft hanno recentemente reso pubblica una campagna, tracciata come "CaptiveCrunch", in cui gli aggressori si sono posizionati all'interno di reti Wi-Fi di alberghi e centri congressi manipolando il traffico visto dai viaggiatori proprio in quel momento — reindirizzando le sessioni dei captive portal verso false pagine di login (comprese convincenti schermate fittizie di accesso Microsoft) progettate per raccogliere password, device code e token OAuth, oppure per far comparire finte finestre di "aggiornamento richiesto" che installano malware di accesso remoto in grado di leggere i tasti premuti e attivare webcam o microfono. Il punto non è che ogni login Wi-Fi d'albergo sia una trappola — la stragrande maggioranza non lo è. Il punto è che questo momento specifico, in cui ci si aspetta che tu digiti qualcosa in una pagina non familiare prima ancora di essere online, è un bersaglio debole, e vale la pena avere una routine per gestirlo.
Perché questo momento è diverso dal phishing normale
La formazione ordinaria sul phishing ti dice di controllare il mittente, passare il mouse sui link, cercare il lucchetto. I captive portal mandano in frantumi la maggior parte di queste abitudini. Non sei tu ad aver navigato verso la pagina — il tuo dispositivo vi è stato reindirizzato automaticamente. Non c'è un indirizzo "Da:" da controllare. La pagina spesso si carica senza una normale barra degli indirizzi visibile (alcuni sistemi operativi la aprono in una finestra del browser ridotta all'osso), e potresti trovarti su una rete che non controlli e non puoi verificare, quindi anche un lucchetto HTTPS apparentemente corretto ti dice solo che la connessione a quella pagina è criptata — non che la pagina stessa sia legittima o che la rete non stia manipolando ciò che vedi.
Cosa dovrebbe — e non dovrebbe — chiedere un captive portal legittimo
Usa questo come filtro di base ogni volta che compare una di queste pagine:
- Normale: il tuo cognome e il numero di camera, un badge o un codice di registrazione della conferenza, l'accettazione dei termini di servizio, un indirizzo email per la ricevuta, oppure un codice monouso inviato via SMS per verificare che tu sia un ospite pagante.
- Non normale: una richiesta di accedere con il tuo account Microsoft, Google, Apple o aziendale. Un vero sistema Wi-Fi di una struttura non ha alcuna ragione legittima per aver bisogno della tua password Microsoft per concederti l'accesso a internet.
- Non normale: una richiesta di inserire un "device code" mostrato altrove, o una pagina che dice qualcosa come "vai su microsoft.com/devicelogin e inserisci questo codice". Si tratta di una funzione Microsoft reale (usata per accedere a dispositivi come le smart TV) che gli aggressori sfruttano proprio perché permette loro di impossessarsi del tuo account senza mai vedere la tua password. Se una pagina di login Wi-Fi ti sta guidando attraverso un flusso di device code, fermati — chiudi il browser e non proseguire.
- Non normale: qualsiasi popup che ti dice che il tuo browser o Windows necessita di un aggiornamento urgente, specialmente uno che ti chiede di copiare un comando e incollarlo in una finestra "Esegui" o in un terminale per "risolvere" la connessione. Questo schema (a volte chiamato ClickFix) è un modo comune per indurre le persone a installare malware da sole, e nessun portale Wi-Fi legittimo ha mai bisogno che tu esegua un comando.
Passo dopo passo: come connettersi in sicurezza
- Prima di partire, disattiva la connessione automatica alle reti aperte. Sul telefono: Impostazioni → Wi-Fi → disattiva "Auto-Join" o "Connessione automatica" per le reti aperte/non protette (la dicitura esatta varia a seconda del dispositivo). Questo impedisce al tuo dispositivo di riconnettersi silenziosamente in seguito a una rete canaglia con nome simile senza che tu te ne accorga.
- Dimentica le vecchie reti pubbliche che non usi più. Se il tuo portatile o telefono ha salvato "Airport_Free_WiFi" o una vecchia rete d'albergo, eliminala. Gli aggressori possono trasmettere una rete con lo stesso nome (un "evil twin") e il tuo dispositivo potrebbe connettersi automaticamente perché ne riconosce il nome.
- Quando ti colleghi alla rete vera, contrassegnala come pubblica/non attendibile. Sia Windows che macOS chiedono se una nuova rete è una rete "pubblica" o "privata"/"attendibile" — scegli pubblica. Questo disabilita la condivisione di file e il rilevamento della rete, limitando ciò che altro su quella rete può vedere o raggiungere il tuo dispositivo.
- Leggi la pagina del portale prima di digitare qualsiasi cosa. Confrontala con l'elenco "normale contro non normale" sopra. Se chiede un login tramite identity provider, un device code, o vuole che tu esegua un comando, chiudi la scheda e chiedi invece alla reception o al tavolo delle registrazioni il nome e la password corretti della rete — non fidarti di una pagina che ti dice come si chiama la rete.
- Inserisci solo il minimo richiesto dal portale — di solito un numero di camera, un cognome o un codice che ti è stato consegnato di persona. Non inserire mai la password della tua email o di un account che usi altrove.
- Una volta superato il portale, attiva una VPN prima di fare qualsiasi altra cosa. Questo è di gran lunga il passo più efficace, perché significa che anche se la rete stessa è ostile, tutto ciò che avviene dopo questo momento è criptato in un tunnel che l'operatore della rete (o un aggressore al suo interno) non può leggere né reindirizzare. Fallo prima di controllare l'email, accedere a qualsiasi cosa o aprire app bancarie.
- Se non hai una VPN, rimanda i login sensibili a più tardi oppure usa i dati cellulari del telefono. Trasformare il telefono in un hotspot personale e collegarci il portatile, anche solo brevemente, evita del tutto la rete della struttura per qualsiasi cosa sensibile — operazioni bancarie, email di lavoro, sblocco del password manager.
- Quando te ne vai, dimentica la rete (sia sul telefono che sul portatile) invece di lasciarla indefinitamente nell'elenco delle reti salvate.
Se pensi di essere già caduto in trappola
Se hai inserito la password di un account Microsoft, Google o di un altro servizio in una pagina di login Wi-Fi, oppure hai completato una richiesta di device code che non hai avviato tu stesso, considera l'account compromesso: cambia subito quella password da una rete o un dispositivo affidabile, controlla l'attività di accesso recente dell'account e i dispositivi/sessioni collegati, disconnettendo tutto ciò che non riconosci, e rivedi le app collegate o le "app con accesso al tuo account" alla ricerca di qualcosa che non hai autorizzato — il phishing tramite device code, in particolare, concede a un aggressore un token senza che debba mai vedere la tua password, quindi il solo cambio di password potrebbe non revocare il suo accesso. Se hai cliccato su un "aggiorna ora" o hai eseguito un comando da un popup, scollega quel dispositivo da internet e trattalo come potenzialmente infetto finché non sia stato scansionato o ripristinato, dato che i payload descritti in questo tipo di campagna hanno incluso strumenti capaci di registrare i tasti premuti e attivare webcam o microfono.
La lezione da trarre
Un captive portal non è di per sé sospetto — è una parte normale e noiosa del viaggiare. Ciò che cambia il rischio è cosa ti chiede di fare. Una pagina che vuole il tuo numero di camera sta facendo il suo lavoro. Una pagina che vuole la tua password Microsoft, un device code o un comando incollato in un terminale non è più una schermata di login Wi-Fi — è una pagina di phishing travestita da tale. Conoscere la differenza, e ricorrere a una VPN o all'hotspot del telefono per qualsiasi cosa sensibile, chiude esattamente il varco da cui dipende questo tipo di attacco.
