Je opent je laptop in een hotelkamer of congreszaal, klikt op het wifi-icoon, en er verschijnt een browservenster waarin je wordt gevraagd in te loggen of de voorwaarden te accepteren voordat je online kunt. Meestal is dit volkomen normaal — dit heet een captive portal, en hotels, luchthavens en congrescentra gebruiken zulke portals om toegang tot hun netwerk te reguleren. Maar diezelfde inlogpagina is ook een bijna perfecte vermomming voor een aanvaller, want je verwacht er een te zien, je hebt haast, en je hebt geen manier om onafhankelijk te controleren wie de pagina die je voor je hebt daadwerkelijk heeft gebouwd.

Onderzoekers van Microsoft hebben onlangs een campagne onthuld, aangeduid als "CaptiveCrunch", waarbij aanvallers zich binnen wifi-netwerken van hotels en congressen nestelden en het verkeer manipuleerden dat reizigers op precies dat moment te zien kregen — door captive-portal-sessies om te leiden naar nepinlogpagina's (waaronder overtuigende neplogin-schermen van Microsoft) die zijn ontworpen om wachtwoorden, apparaatcodes en OAuth-tokens te bemachtigen, of door nepmeldingen als "update vereist" te tonen die remote-access-malware installeren die toetsaanslagen kan uitlezen en een webcam of microfoon kan activeren. Het punt is niet dat elke wifi-login van een hotel een valstrik is — de overgrote meerderheid is dat niet. Het punt is dat dit specifieke moment, waarop van je wordt verwacht dat je iets typt op een onbekende pagina nog voordat je online bent, een zwak punt is, en dat het de moeite waard is om hier een vaste routine voor te hebben.

Waarom dit moment anders is dan gewone phishing

Gewone phishingtrainingen leren je om de afzender te controleren, over links te hoveren en te letten op een hangslotje. Captive portals doorbreken de meeste van die gewoontes. Je bent niet zelf naar de pagina genavigeerd — je apparaat werd er automatisch naartoe omgeleid. Er is geen "Van:"-adres om te controleren. De pagina laadt vaak zonder zichtbare adresbalk (sommige besturingssystemen openen hem in een uitgeklede browservenster), en je bevindt je mogelijk op een netwerk dat je niet beheert en niet kunt verifiëren, waardoor zelfs een correct ogend HTTPS-hangslotje alleen aangeeft dat de verbinding met die pagina versleuteld is — niet dat de pagina zelf legitiem is of dat het netwerk niet manipuleert wat je te zien krijgt.

Waar een legitieme captive portal wel — en niet — om zou moeten vragen

Gebruik dit als je basisfilter telkens wanneer zo'n pagina verschijnt:

  • Normaal: je achternaam en kamernummer, een congresbadge of registratiecode, akkoord gaan met de gebruiksvoorwaarden, een e-mailadres voor een bonnetje, of een eenmalige code die per sms wordt verstuurd om te verifiëren dat je een betalende gast bent.
  • Niet normaal: een verzoek om in te loggen met je Microsoft-, Google-, Apple- of zakelijke identiteitsaccount. Een echt wifisysteem van een locatie heeft geen legitieme reden om je Microsoft-wachtwoord nodig te hebben om je internettoegang te verlenen.
  • Niet normaal: een verzoek om een "apparaatcode" in te voeren die je elders te zien krijgt, of een pagina met een tekst als "ga naar microsoft.com/devicelogin en voer deze code in." Dit is een echte Microsoft-functie (gebruikt om in te loggen op apparaten zoals smart-tv's) die aanvallers specifiek misbruiken omdat ze hiermee je account kunnen kapen zonder ooit je wachtwoord te zien. Als een wifi-inlogpagina je door een apparaatcode-flow leidt, stop dan — sluit de browser en ga niet verder.
  • Niet normaal: elke pop-up die zegt dat je browser of Windows dringend moet worden bijgewerkt, zeker als je wordt gevraagd een commando te kopiëren en te plakken in een "Uitvoeren"-venster of terminal om de verbinding te "repareren". Dit patroon (soms ClickFix genoemd) is een veelgebruikte manier om mensen zelf malware te laten installeren, en geen enkele legitieme wifi-portal heeft er ooit behoefte aan dat jij een commando uitvoert.

Stap voor stap: veilig verbinden

  1. Schakel voor je op reis gaat automatisch verbinden met open netwerken uit. Op je telefoon: Instellingen → Wifi → schakel "Automatisch verbinden" of "Auto-Join" uit voor open/onbeveiligde netwerken (de exacte bewoordingen verschillen per apparaat). Zo voorkom je dat je apparaat later ongemerkt automatisch verbinding maakt met een frauduleus netwerk met een soortgelijke naam.
  2. Verwijder oude openbare netwerken die je niet meer gebruikt. Als op je laptop of telefoon nog "Airport_Free_WiFi" of een oud hotelnetwerk staat opgeslagen, verwijder dit dan. Aanvallers kunnen een netwerk met dezelfde naam uitzenden (een "evil twin"), en je apparaat kan hier automatisch verbinding mee maken omdat het de naam herkent.
  3. Markeer het echte netwerk als openbaar/niet-vertrouwd zodra je verbinding maakt. Zowel Windows als macOS vraagt of een nieuw netwerk "openbaar" of "privé"/"vertrouwd" is — kies openbaar. Dit schakelt bestandsdeling en netwerkdetectie uit, waardoor beperkt wordt wat verder nog op dat netwerk je apparaat kan zien of bereiken.
  4. Lees de portalpagina voordat je iets typt. Toets hem aan de lijst "normaal versus niet normaal" hierboven. Als er wordt gevraagd om in te loggen bij een identiteitsprovider, een apparaatcode wordt gevraagd, of je een commando moet uitvoeren, sluit dan het tabblad en vraag in plaats daarvan bij de receptie of registratiebalie naar de juiste netwerknaam en het wachtwoord — vertrouw niet op een pagina om je te vertellen hoe het netwerk heet.
  5. Voer alleen het minimum in dat de portal nodig heeft — meestal een kamernummer, achternaam, of een code die je fysiek hebt gekregen. Voer nooit je e-mailwachtwoord in, of een account dat je elders gebruikt.
  6. Zet, zodra je door de portal heen bent, eerst een VPN aan voordat je iets anders doet. Dit is verreweg de meest effectieve stap, omdat hierdoor alles wat hierna gebeurt versleuteld wordt in een tunnel die de netwerkbeheerder (of een aanvaller daarop) niet kan lezen of omleiden, zelfs als het netwerk zelf vijandig is. Doe dit voordat je e-mail checkt, ergens op inlogt, of bank-apps opent.
  7. Heb je geen VPN, bewaar gevoelige logins dan voor later of gebruik in plaats daarvan het mobiele internet van je telefoon. Door je telefoon om te zetten in een persoonlijke hotspot en je laptop daarmee te verbinden, al is het maar kort, vermijd je het netwerk van de locatie volledig voor alles wat gevoelig is — bankzaken, werk-e-mail, het ontgrendelen van je wachtwoordmanager.
  8. Verwijder het netwerk zodra je vertrekt (zowel op je telefoon als op je laptop), in plaats van het voor onbepaalde tijd in je lijst met opgeslagen netwerken te laten staan.

Als je denkt dat je er al bent ingetrapt

Als je een wachtwoord van je Microsoft-, Google- of ander account hebt ingevoerd op een wifi-inlogpagina, of een apparaatcode-verzoek hebt voltooid dat je niet zelf had geïnitieerd, behandel het account dan als gecompromitteerd: wijzig dat wachtwoord onmiddellijk vanaf een vertrouwd netwerk of apparaat, controleer de recente inlogactiviteit en gekoppelde apparaten/sessies van het account en log alles uit wat je niet herkent, en bekijk gekoppelde apps of "apps met toegang tot je account" op alles wat je niet zelf hebt geautoriseerd — apparaatcode-phishing geeft een aanvaller specifiek een token zonder ooit je wachtwoord nodig te hebben, dus een wachtwoordwijziging alleen ontneemt hem mogelijk niet de toegang. Als je hebt doorgeklikt op een "nu updaten"-melding of een commando uit een pop-up hebt uitgevoerd, koppel dat apparaat dan los van internet en behandel het als mogelijk geïnfecteerd totdat het is gescand of opnieuw is ingericht, aangezien de payloads die bij dit soort campagnes zijn beschreven tools omvatten die toetsaanslagen kunnen registreren en je webcam of microfoon kunnen activeren.

De kern van de zaak

Een captive portal is niet per definitie verdacht — het is een normaal, saai onderdeel van reizen. Wat het risico verandert, is wat er van je wordt gevraagd. Een pagina die je kamernummer wil, doet gewoon zijn werk. Een pagina die je Microsoft-wachtwoord wil, een apparaatcode, of een commando geplakt in een terminal, is geen wifi-inlogscherm meer — het is een phishingpagina die er een als vermomming draagt. Het verschil kennen, en teruggrijpen op een VPN of de hotspot van je telefoon voor alles wat gevoelig is, sluit precies het moment af waarvan dit soort aanvallen afhankelijk is.