Otwierasz laptopa w hotelowym pokoju albo w sali konferencyjnej, klikasz ikonę Wi-Fi i wyskakuje okno przeglądarki proszące o zalogowanie się lub zaakceptowanie regulaminu, zanim uzyskasz dostęp do internetu. W większości przypadków to zupełnie normalne — nazywa się to portalem przechwytującym (captive portal) i korzystają z niego hotele, lotniska oraz centra konferencyjne, aby kontrolować dostęp do swojej sieci. Ale ta sama strona logowania jest też niemal idealną przykrywką dla atakującego, ponieważ spodziewasz się ją zobaczyć, spieszysz się i nie masz żadnego sposobu, by samodzielnie zweryfikować, kto tak naprawdę stworzył stronę, którą właśnie oglądasz.

Badacze z Microsoftu niedawno ujawnili kampanię, śledzoną pod nazwą „CaptiveCrunch”, w której atakujący umieszczali się wewnątrz hotelowych i konferencyjnych sieci Wi-Fi i manipulowali ruchem sieciowym, który podróżni widzieli w tym właśnie momencie — przekierowując sesje portali przechwytujących na fałszywe strony logowania (w tym przekonujące, podrobione ekrany logowania Microsoft) zaprojektowane do wyłudzania haseł, kodów urządzeń i tokenów OAuth, albo wyświetlając fałszywe okna dialogowe typu „wymagana aktualizacja”, które instalują złośliwe oprogramowanie do zdalnego dostępu, zdolne odczytywać naciśnięcia klawiszy oraz włączać kamerę i mikrofon. Nie chodzi o to, że każde logowanie do hotelowego Wi-Fi jest pułapką — zdecydowana większość nie jest. Chodzi o to, że ten konkretny moment, w którym oczekuje się od ciebie wpisania czegoś na nieznanej stronie, zanim jeszcze jesteś online, jest łatwym celem i warto mieć na niego wypracowany schemat postępowania.

Dlaczego ten moment różni się od zwykłego phishingu

Zwykłe szkolenie z phishingu każe ci sprawdzić nadawcę, najechać kursorem na linki, poszukać kłódki. Portale przechwytujące łamią większość tych nawyków. Nie wszedłeś na tę stronę sam — twoje urządzenie zostało tam automatycznie przekierowane. Nie ma adresu „Od:” do sprawdzenia. Strona często ładuje się bez widocznego normalnego paska adresu (niektóre systemy operacyjne otwierają ją w okrojonym oknie przeglądarki), a ty możesz być w sieci, której nie kontrolujesz i nie potrafisz zweryfikować — więc nawet poprawnie wyglądająca kłódka HTTPS mówi ci tylko, że połączenie z daną stroną jest szyfrowane, a nie że sama strona jest legalna albo że sieć nie manipuluje tym, co widzisz.

O co legalny portal przechwytujący powinien — a o co nie powinien — pytać

Za każdym razem, gdy pojawi się jedna z takich stron, użyj tego jako podstawowego filtra:

  • Normalne: twoje nazwisko i numer pokoju, identyfikator konferencyjny lub kod rejestracyjny, akceptacja regulaminu, adres e-mail do wysłania potwierdzenia albo jednorazowy kod przesłany SMS-em w celu weryfikacji, że jesteś płacącym gościem.
  • Nienormalne: prośba o zalogowanie się przy użyciu konta Microsoft, Google, Apple lub konta firmowego. Prawdziwy system Wi-Fi obiektu nie ma żadnego uzasadnionego powodu, by potrzebować twojego hasła do Microsoftu, aby przyznać ci dostęp do internetu.
  • Nienormalne: prośba o wpisanie „kodu urządzenia” wyświetlonego gdzie indziej, albo strona mówiąca coś w stylu „wejdź na microsoft.com/devicelogin i wpisz ten kod”. To prawdziwa funkcja Microsoftu (używana do logowania się na urządzeniach takich jak smart TV), którą atakujący nadużywają właśnie dlatego, że pozwala im przejąć twoje konto bez konieczności poznania twojego hasła. Jeśli strona logowania do Wi-Fi prowadzi cię przez proces logowania kodem urządzenia — zatrzymaj się, zamknij przeglądarkę i nie kontynuuj.
  • Nienormalne: jakiekolwiek okienko informujące, że twoja przeglądarka lub Windows pilnie wymaga aktualizacji, zwłaszcza takie, które prosi cię o skopiowanie polecenia i wklejenie go do okna „Uruchom” lub terminala, żeby „naprawić” połączenie. Ten wzorzec (czasem nazywany ClickFix) to popularny sposób nakłaniania ludzi, by sami zainstalowali sobie złośliwe oprogramowanie, a żaden legalny portal Wi-Fi nigdy nie wymaga od ciebie uruchamiania poleceń.

Krok po kroku: jak łączyć się bezpiecznie

  1. Zanim wyruszysz w podróż, wyłącz automatyczne łączenie z otwartymi sieciami. W telefonie: Ustawienia → Wi-Fi → wyłącz „Auto-Join” lub „Automatyczne łączenie” dla sieci otwartych/niezabezpieczonych (dokładna nazwa opcji różni się w zależności od urządzenia). Dzięki temu twoje urządzenie nie połączy się później po cichu z podobnie nazwaną fałszywą siecią bez twojej wiedzy.
  2. Zapomnij stare publiczne sieci, z których już nie korzystasz. Jeśli w laptopie lub telefonie zapisana jest sieć „Airport_Free_WiFi” albo stara sieć hotelowa, usuń ją. Atakujący mogą rozgłaszać sieć o identycznej nazwie („bliźniak” sieci, evil twin), a twoje urządzenie może połączyć się z nią automatycznie, ponieważ rozpoznaje tę nazwę.
  3. Kiedy już połączysz się z prawdziwą siecią, oznacz ją jako publiczną/niezaufaną. Zarówno Windows, jak i macOS pytają, czy nowa sieć jest „publiczna” czy „prywatna”/„zaufana” — wybierz publiczną. Wyłącza to udostępnianie plików i wykrywanie sieci, ograniczając to, co inne urządzenia w tej sieci mogą zobaczyć lub do czego mogą uzyskać dostęp.
  4. Zanim cokolwiek wpiszesz, przeczytaj stronę portalu. Sprawdź ją względem powyższej listy „normalne vs. nienormalne”. Jeśli strona prosi o logowanie przez dostawcę tożsamości, o kod urządzenia albo chce, żebyś uruchomił polecenie — zamknij kartę i zamiast tego zapytaj recepcję lub stanowisko rejestracyjne o poprawną nazwę sieci i hasło, podając je z imienia — nie ufaj stronie, która sama twierdzi, jak nazywa się sieć.
  5. Podawaj tylko minimum, którego wymaga portal — zazwyczaj numer pokoju, nazwisko albo kod, który dostałeś fizycznie do ręki. Nigdy nie podawaj hasła do e-maila ani konta, którego używasz gdzie indziej.
  6. Gdy już przejdziesz przez portal, zanim zrobisz cokolwiek innego, włącz VPN. To pojedynczy, najskuteczniejszy krok, ponieważ oznacza, że nawet jeśli sama sieć jest wroga, wszystko, co dzieje się od tego momentu, jest szyfrowane w tunelu, którego operator sieci (albo atakujący w niej obecny) nie może odczytać ani przekierować. Zrób to, zanim sprawdzisz pocztę, zalogujesz się gdziekolwiek albo otworzysz aplikację bankową.
  7. Jeśli nie masz VPN-u, odłóż wrażliwe logowania na później albo skorzystaj z transmisji danych komórkowych w telefonie. Zamiana telefonu w osobisty hotspot i połączenie z nim laptopa, choćby na krótko, pozwala całkowicie ominąć sieć obiektu przy wszystkim, co wrażliwe — bankowości, poczcie służbowej, odblokowywaniu menedżera haseł.
  8. Kiedy wyjeżdżasz, zapomnij sieć (zarówno w telefonie, jak i w laptopie), zamiast pozwalać jej bezterminowo tkwić na liście zapisanych sieci.

Jeśli podejrzewasz, że już dałeś się nabrać

Jeśli wpisałeś hasło do konta Microsoft, Google lub innego na stronie logowania do Wi-Fi, albo ukończyłeś proces z kodem urządzenia, którego sam nie zainicjowałeś, traktuj konto jako przejęte: natychmiast zmień to hasło z zaufanej sieci lub urządzenia, sprawdź w koncie ostatnią aktywność logowania oraz połączone urządzenia/sesje i wyloguj wszystko, czego nie rozpoznajesz, a także przejrzyj połączone aplikacje lub „aplikacje z dostępem do konta” pod kątem czegokolwiek, czego nie autoryzowałeś — phishing oparty na kodzie urządzenia daje atakującemu token bez potrzeby poznania hasła, więc sama zmiana hasła może nie odebrać mu dostępu. Jeśli kliknąłeś „zaktualizuj teraz” albo uruchomiłeś polecenie z wyskakującego okna, odłącz to urządzenie od internetu i traktuj je jako potencjalnie zainfekowane, dopóki nie zostanie przeskanowane lub przywrócone od nowa, ponieważ ładunki opisywane w tego typu kampaniach obejmowały narzędzia zdolne rejestrować naciśnięcia klawiszy oraz włączać kamerę i mikrofon.

Wnioski

Portal przechwytujący sam w sobie nie jest podejrzany — to normalna, nudna część podróżowania. To, o co cię prosi, zmienia poziom ryzyka. Strona, która chce znać numer twojego pokoju, wykonuje swoje zadanie. Strona, która chce twojego hasła do Microsoftu, kodu urządzenia albo polecenia wklejonego do terminala, to już nie jest ekran logowania do Wi-Fi — to strona phishingowa przebrana za taki ekran. Znajomość tej różnicy oraz sięganie po VPN lub hotspot w telefonie przy wszystkim, co wrażliwe, eliminuje właśnie ten moment, od którego zależy tego typu atak.