Você abre o laptop em um quarto de hotel ou em um salão de conferências, clica no ícone de Wi-Fi, e uma janela do navegador aparece pedindo para você fazer login ou aceitar os termos antes de conseguir se conectar. Na maioria das vezes isso é completamente normal — chama-se portal cativo, e hotéis, aeroportos e centros de convenções o utilizam para controlar o acesso à rede. Mas essa mesma página de login também é um disfarce quase perfeito para um invasor, porque você espera ver uma, está com pressa, e não tem como verificar de forma independente quem realmente criou a página que você está vendo.
Pesquisadores da Microsoft divulgaram recentemente uma campanha, rastreada como "CaptiveCrunch", na qual invasores se posicionaram dentro de redes Wi-Fi de hotéis e conferências e manipularam o tráfego que os viajantes viam naquele momento exato — redirecionando sessões de portal cativo para páginas de login falsas (incluindo telas de login da Microsoft falsas e convincentes) projetadas para coletar senhas, códigos de dispositivo e tokens OAuth, ou para exibir falsas janelas de "atualização necessária" que instalam malware de acesso remoto capaz de registrar teclas digitadas e ativar uma webcam ou microfone. A questão não é que todo login de Wi-Fi de hotel seja uma armadilha — a grande maioria não é. A questão é que esse momento específico, quando se espera que você digite algo em uma página desconhecida antes mesmo de estar online, é um alvo fácil, e vale a pena ter uma rotina para isso.
Por que esse momento é diferente do phishing comum
O treinamento comum contra phishing diz para você verificar o remetente, passar o mouse sobre os links, procurar pelo cadeado. Os portais cativos quebram a maioria desses hábitos. Você não navegou até a página — seu dispositivo foi redirecionado até ela automaticamente. Não há endereço de "De:" para verificar. A página muitas vezes carrega sem uma barra de endereço normal visível (alguns sistemas operacionais a abrem em uma janela de navegador simplificada), e você pode estar em uma rede que não controla e não consegue verificar, de modo que até um cadeado HTTPS de aparência correta só indica que a conexão com aquela página está criptografada — não que a página em si seja legítima ou que a rede não esteja manipulando o que você vê.
O que um portal cativo legítimo deve — e não deve — pedir
Use isto como seu filtro básico toda vez que uma dessas páginas aparecer:
- Normal: seu sobrenome e número do quarto, um crachá de conferência ou código de inscrição, concordar com os termos de serviço, um endereço de e-mail para um recibo, ou um código único enviado por SMS para verificar que você é um hóspede pagante.
- Não é normal: um pedido para fazer login com sua conta de identidade Microsoft, Google, Apple ou corporativa. Um sistema de Wi-Fi de local real não tem nenhum motivo legítimo para precisar da sua senha da Microsoft para conceder acesso à internet.
- Não é normal: um pedido para inserir um "código de dispositivo" exibido em outro lugar, ou uma página que diga algo como "acesse microsoft.com/devicelogin e insira este código." Esse é um recurso real da Microsoft (usado para fazer login em dispositivos como smart TVs) que invasores exploram especificamente porque permite sequestrar sua conta sem nunca ver sua senha. Se uma página de login de Wi-Fi estiver guiando você por um fluxo de código de dispositivo, pare — feche o navegador e não continue.
- Não é normal: qualquer pop-up dizendo que seu navegador ou o Windows precisa de uma atualização urgente, especialmente um que peça para você copiar um comando e colá-lo em uma caixa "Executar" ou em um terminal para "corrigir" a conexão. Esse padrão (às vezes chamado de ClickFix) é uma forma comum de enganar as pessoas para que instalem malware por conta própria, e nenhum portal de Wi-Fi legítimo jamais precisa que você execute um comando.
Passo a passo: conectando-se com segurança
- Antes de viajar, desative a conexão automática para redes abertas. No seu celular: Configurações → Wi-Fi → desative "Entrar automaticamente" ou "Conectar automaticamente" para redes abertas/não seguras (a redação exata varia conforme o dispositivo). Isso impede que seu dispositivo se reconecte silenciosamente mais tarde a uma rede maliciosa com nome semelhante sem que você perceba.
- Esqueça redes públicas antigas que você não usa mais. Se o seu laptop ou celular tiver salva a rede "Airport_Free_WiFi" ou uma antiga rede de hotel, exclua-a. Invasores podem transmitir uma rede com o mesmo nome (um "gêmeo maligno") e seu dispositivo pode se conectar a ela automaticamente por reconhecer o nome.
- Ao entrar na rede verdadeira, marque-a como pública/não confiável. Tanto o Windows quanto o macOS perguntam se uma nova rede é "pública" ou "privada"/"confiável" — escolha pública. Isso desativa o compartilhamento de arquivos e a descoberta de rede, limitando o que mais naquela rede pode ver ou alcançar seu dispositivo.
- Leia a página do portal antes de digitar qualquer coisa. Compare-a com a lista de "normal vs. não normal" acima. Se ela pedir um login de provedor de identidade, um código de dispositivo, ou quiser que você execute um comando, feche a aba e, em vez disso, pergunte à recepção ou ao balcão de credenciamento qual é o nome correto da rede e a senha — não confie em uma página para dizer como a rede se chama.
- Insira apenas o mínimo que o portal precisa — geralmente um número de quarto, sobrenome, ou um código que foi entregue a você fisicamente. Nunca insira a senha do seu e-mail ou de uma conta que você usa em outros lugares.
- Assim que passar pelo portal, ative uma VPN antes de fazer qualquer outra coisa. Este é o passo mais eficaz de todos, porque significa que, mesmo que a própria rede seja hostil, tudo depois desse ponto fica criptografado em um túnel que o operador da rede (ou um invasor nela) não consegue ler ou redirecionar. Faça isso antes de verificar e-mails, fazer login em qualquer coisa, ou abrir aplicativos bancários.
- Se você não tiver uma VPN, deixe os logins sensíveis para depois ou use os dados móveis do seu celular. Transformar seu celular em um hotspot pessoal e conectar seu laptop a ele, mesmo que brevemente, evita totalmente a rede do local para qualquer coisa sensível — operações bancárias, e-mail de trabalho, desbloqueio de gerenciador de senhas.
- Ao sair, esqueça a rede (tanto no celular quanto no laptop) em vez de deixá-la parada indefinidamente na sua lista de redes salvas.
Se você acha que já caiu em uma dessas
Se você inseriu uma senha de conta Microsoft, Google ou outra em uma página de login de Wi-Fi, ou concluiu um pedido de código de dispositivo que você mesmo não iniciou, trate a conta como comprometida: troque essa senha imediatamente a partir de uma rede ou dispositivo confiável, verifique a atividade recente de login da conta e os dispositivos/sessões conectados, encerrando a sessão de qualquer um que você não reconheça, e revise os aplicativos conectados ou "apps com acesso à sua conta" em busca de algo que você não autorizou — o phishing por código de dispositivo especificamente concede a um invasor um token sem nunca precisar da sua senha, então trocar a senha sozinha pode não remover o acesso dele. Se você clicou em "atualizar agora" ou executou um comando a partir de um pop-up, desconecte esse dispositivo da internet e trate-o como potencialmente infectado até que tenha sido verificado ou reinstalado, já que as cargas maliciosas descritas nesse tipo de campanha incluíram ferramentas capazes de registrar teclas digitadas e ativar sua webcam ou microfone.
A conclusão
Um portal cativo não é inerentemente suspeito — é uma parte normal e sem graça das viagens. O que muda o risco é o que ele pede para você fazer. Uma página que quer o número do seu quarto está apenas cumprindo sua função. Uma página que quer sua senha da Microsoft, um código de dispositivo, ou um comando colado em um terminal já não é mais uma tela de login de Wi-Fi — é uma página de phishing disfarçada de uma. Saber a diferença, e recorrer a uma VPN ou ao hotspot do seu celular para qualquer coisa sensível, fecha exatamente o momento do qual esse tipo de ataque depende.
