Îți deschizi laptopul într-o cameră de hotel sau într-o sală de conferințe, dai clic pe iconița Wi-Fi, iar o fereastră de browser apare cerându-ți să te autentifici sau să accepți termenii înainte de a te conecta la internet. De cele mai multe ori, acest lucru este complet normal — se numește portal captiv, iar hotelurile, aeroporturile și centrele de conferințe îl folosesc pentru a controla accesul la rețeaua lor. Dar aceeași pagină de autentificare este și o deghizare aproape perfectă pentru un atacator, pentru că te aștepți să vezi una, ești grăbit și nu ai cum să verifici independent cine a construit de fapt pagina pe care o vezi.

Cercetătorii de la Microsoft au dezvăluit recent o campanie, denumită „CaptiveCrunch", în care atacatorii s-au poziționat în interiorul rețelelor Wi-Fi din hoteluri și centre de conferințe și au manipulat traficul pe care călătorii îl vedeau exact în acel moment — redirecționând sesiunile portalului captiv către pagini de autentificare false (inclusiv ecrane convingătoare care imitau autentificarea Microsoft), concepute pentru a colecta parole, coduri de dispozitiv și token-uri OAuth, sau pentru a afișa ferestre false de tipul „actualizare necesară" care instalează malware de acces la distanță, capabil să citească tastele apăsate și să activeze camera web sau microfonul. Ideea nu este că fiecare autentificare Wi-Fi de hotel este o capcană — marea majoritate nu sunt. Ideea este că acest moment specific, în care ți se cere să tastezi ceva pe o pagină necunoscută înainte chiar de a fi online, este o țintă vulnerabilă și merită să ai o rutină pentru el.

De ce acest moment diferă de phishingul obișnuit

Instruirea obișnuită despre phishing te învață să verifici expeditorul, să treci cursorul peste linkuri, să cauți un lacăt. Portalurile captive contrazic majoritatea acestor obiceiuri. Nu tu ai navigat către pagină — dispozitivul tău a fost redirecționat automat acolo. Nu există o adresă „De la:" pe care să o verifici. Pagina se încarcă adesea fără o bară de adrese vizibilă normal (unele sisteme de operare o deschid într-o fereastră de browser simplificată), iar tu te poți afla pe o rețea pe care nu o controlezi și nu o poți verifica, astfel încât chiar și un lacăt HTTPS care pare corect îți spune doar că acea conexiune este criptată — nu că pagina în sine este legitimă sau că rețeaua nu manipulează ceea ce vezi.

Ce ar trebui — și ce nu ar trebui — să ceară un portal captiv legitim

Folosește asta ca filtru de bază de fiecare dată când apare una dintre aceste pagini:

  • Normal: numele de familie și numărul camerei, un ecuson de conferință sau un cod de înregistrare, acceptarea termenilor și condițiilor, o adresă de e-mail pentru o chitanță sau un cod unic trimis prin SMS pentru a confirma că ești un oaspete plătitor.
  • Nu este normal: o cerere de a te autentifica cu contul tău de identitate Microsoft, Google, Apple sau corporativ. Un sistem Wi-Fi real, al unei locații, nu are niciun motiv legitim să aibă nevoie de parola ta Microsoft pentru a-ți acorda acces la internet.
  • Nu este normal: o solicitare de a introduce un „cod de dispozitiv" afișat în altă parte, sau o pagină care spune ceva de genul „accesează microsoft.com/devicelogin și introdu acest cod." Aceasta este o funcție reală Microsoft (folosită pentru autentificarea pe dispozitive precum televizoarele inteligente) pe care atacatorii o exploatează special pentru că le permite să preia controlul asupra contului tău fără să vadă vreodată parola. Dacă o pagină de autentificare Wi-Fi te ghidează printr-un proces de cod de dispozitiv, oprește-te — închide browserul și nu continua.
  • Nu este normal: orice fereastră pop-up care îți spune că browserul sau Windows are nevoie de o actualizare urgentă, mai ales una care îți cere să copiezi o comandă și să o lipești într-o casetă „Run" sau într-un terminal pentru a „repara" conexiunea. Acest tipar (numit uneori ClickFix) este o metodă des folosită pentru a păcăli oamenii să instaleze ei înșiși malware, iar niciun portal Wi-Fi legitim nu are vreodată nevoie să rulezi o comandă.

Pas cu pas: cum te conectezi în siguranță

  1. Înainte de a călători, dezactivează conectarea automată la rețelele deschise. Pe telefon: Setări → Wi-Fi → dezactivează „Auto-Join" sau „Auto-Connect" pentru rețelele deschise/nesecurizate (formularea exactă variază în funcție de dispozitiv). Astfel eviți ca dispozitivul tău să se reconecteze ulterior, în tăcere, la o rețea rău-intenționată cu un nume asemănător, fără să observi.
  2. Șterge din memorie rețelele publice vechi pe care nu le mai folosești. Dacă laptopul sau telefonul tău are salvată o rețea precum „Airport_Free_WiFi" sau o rețea veche de hotel, șterge-o. Atacatorii pot difuza o rețea cu același nume (un „evil twin", adică un geamăn rău-intenționat), iar dispozitivul tău se poate conecta automat la ea pentru că recunoaște numele.
  3. Când te conectezi la rețeaua reală, marcheaz-o drept publică/nesigură. Atât Windows, cât și macOS te întreabă dacă o rețea nouă este „publică" sau „privată"/„de încredere" — alege publică. Astfel se dezactivează partajarea fișierelor și descoperirea rețelei, limitând ce altceva de pe acea rețea poate vedea sau ajunge la dispozitivul tău.
  4. Citește pagina portalului înainte să tastezi orice. Verific-o pe baza listei „normal vs. nu este normal" de mai sus. Dacă cere autentificare printr-un furnizor de identitate, un cod de dispozitiv sau vrea să rulezi o comandă, închide fila și, în schimb, întreabă la recepție sau la standul de înregistrare care este numele și parola corecte ale rețelei — nu avea încredere într-o pagină care îți spune cum se numește rețeaua.
  5. Introdu doar minimul necesar pe care îl cere portalul — de obicei un număr de cameră, numele de familie sau un cod primit fizic. Nu introduce niciodată parola de e-mail sau un cont pe care îl folosești în altă parte.
  6. Odată trecut de portal, activează un VPN înainte de a face orice altceva. Acesta este cel mai eficient pas dintre toate, pentru că înseamnă că, chiar dacă rețeaua în sine este ostilă, tot ce urmează este criptat printr-un tunel pe care operatorul rețelei (sau un atacator aflat pe ea) nu îl poate citi sau redirecționa. Fă asta înainte de a-ți verifica e-mailul, de a te autentifica undeva sau de a deschide aplicații bancare.
  7. Dacă nu ai un VPN, amână autentificările sensibile pentru mai târziu sau folosește datele mobile ale telefonului tău. Transformarea telefonului într-un hotspot personal și conectarea laptopului la acesta, chiar și pentru scurt timp, evită complet rețeaua locației pentru orice este sensibil — operațiuni bancare, e-mail de serviciu, deblocarea managerului de parole.
  8. Când pleci, șterge rețeaua din memorie (atât pe telefon, cât și pe laptop), în loc să o lași la nesfârșit în lista de rețele salvate.

Dacă bănuiești că ai căzut deja într-o astfel de capcană

Dacă ai introdus parola contului tău Microsoft, Google sau al altui serviciu pe o pagină de autentificare Wi-Fi, sau ai finalizat o solicitare de cod de dispozitiv pe care nu ai inițiat-o tu însuți, tratează contul ca fiind compromis: schimbă imediat acea parolă de pe o rețea sau un dispozitiv de încredere, verifică activitatea recentă de autentificare a contului, precum și dispozitivele/sesiunile conectate, și deconectează tot ce nu recunoști, iar apoi verifică aplicațiile conectate sau „aplicațiile cu acces la contul tău" pentru orice nu ai autorizat tu — phishingul prin cod de dispozitiv îi acordă atacatorului un token fără să aibă nevoie vreodată de parola ta, așa că simpla schimbare a parolei s-ar putea să nu îi elimine accesul. Dacă ai dat clic pe „actualizează acum" sau ai rulat o comandă dintr-o fereastră pop-up, deconectează acel dispozitiv de la internet și tratează-l ca fiind posibil infectat până când este scanat sau reinstalat, deoarece elementele malițioase descrise în acest tip de campanie au inclus instrumente capabile să înregistreze tastele apăsate și să activeze camera web sau microfonul.

Concluzia

Un portal captiv nu este suspect prin natura lui — este o parte normală și banală a călătoriilor. Ce schimbă riscul este ce îți cere să faci. O pagină care vrea numărul camerei tale își face treaba. O pagină care vrea parola ta Microsoft, un cod de dispozitiv sau o comandă lipită într-un terminal nu mai este un ecran de autentificare Wi-Fi — este o pagină de phishing deghizată în așa ceva. Cunoașterea diferenței și recurgerea la un VPN sau la hotspotul telefonului pentru orice este sensibil elimină exact acel moment de care depinde acest tip de atac.