Otvorite laptop u hotelskoj sobi ili konferencijskoj sali, kliknete na ikonu za Wi‑Fi i pojavi se prozor pregledača koji traži da se prijavite ili prihvatite uslove pre nego što se povežete na internet. Većinu vremena to je potpuno normalno — zove se portal sa obaveznom prijavom, a hoteli, aerodromi i konferencijski centri koriste ga da ograniče pristup svojoj mreži. Ali ta ista stranica za prijavljivanje gotovo je savršena maska za napadača, jer očekujete da je vidite, žurite i nemate načina da nezavisno proverite ko je zapravo napravio stranicu koju gledate.

Istraživači kompanije Microsoft nedavno su otkrili kampanju praćenu pod nazivom „CaptiveCrunch“, u kojoj su se napadači pozicionirali unutar hotelskih i konferencijskih Wi‑Fi mreža i manipulisali saobraćajem koji su putnici videli upravo u tom trenutku — preusmeravali su sesije portala sa obaveznom prijavom na lažne stranice za prijavljivanje, uključujući uverljive lažne Microsoft ekrane za prijavljivanje, osmišljene za prikupljanje lozinki, kodova uređaja i OAuth tokena, ili su prikazivali lažne dijaloge „potrebno je ažuriranje“ koji instaliraju malver za udaljeni pristup, sposoban da beleži pritiske na tastere i aktivira veb-kameru ili mikrofon. Poenta nije u tome da je svako prijavljivanje na hotelski Wi‑Fi zamka — velika većina nije. Poenta je da je ovaj konkretan trenutak, kada se od vas očekuje da nešto unesete na nepoznatoj stranici pre nego što ste uopšte povezani na internet, laka meta i da vredi imati rutinu za takve situacije.

Zašto se ovaj trenutak razlikuje od uobičajenog fišinga

Obuka o uobičajenom fišingu savetuje vam da proverite pošiljaoca, pređete pokazivačem preko veza i potražite katancem označenu vezu. Portali sa obaveznom prijavom narušavaju većinu tih navika. Niste vi otišli na tu stranicu — vaš uređaj je automatski preusmeren na nju. Ne postoji adresa „From:“ koju možete da proverite. Stranica se često učitava bez uobičajene adresne trake (neki operativni sistemi je otvaraju u ogoljenom prozoru pregledača), a možda ste na mreži koju ne kontrolišete i ne možete da proverite, pa vam čak i ispravno prikazan HTTPS katanac samo govori da je veza do te stranice šifrovana — ne i da je sama stranica legitimna ili da mreža ne manipuliše onim što vidite.

Šta legitimni portal sa obaveznom prijavom treba — a šta ne treba — da traži

Koristite ovo kao osnovni filter svaki put kada se pojavi neka od ovih stranica:

  • Uobičajeno: vaše prezime i broj sobe, konferencijska akreditacija ili registracioni kod, prihvatanje uslova korišćenja, imejl adresa za račun ili jednokratni kod poslat SMS‑om radi provere da ste gost koji plaća.
  • Nije uobičajeno: zahtev da se prijavite svojim Microsoft, Google, Apple ili korporativnim identitetskim nalogom. Pravi hotelski ili konferencijski Wi‑Fi sistem nema legitiman razlog da mu date Microsoft lozinku kako bi vam omogućio pristup internetu.
  • Nije uobičajeno: zahtev da unesete „kod uređaja“ koji vam je prikazan negde drugde ili stranica koja kaže nešto poput „idite na microsoft.com/devicelogin i unesite ovaj kod“. To je stvarna Microsoft funkcija (koja se koristi za prijavljivanje na uređaje poput pametnih televizora), ali je napadači zloupotrebljavaju upravo zato što im omogućava da preuzmu vaš nalog, a da nikada ne vide vašu lozinku. Ako vas stranica za prijavljivanje na Wi‑Fi vodi kroz postupak sa kodom uređaja, zaustavite se — zatvorite pregledač i ne nastavljajte.
  • Nije uobičajeno: bilo kakav iskačući prozor koji vam govori da je pregledaču ili sistemu Windows potrebno hitno ažuriranje, naročito ako traži da kopirate komandu i nalepite je u polje „Run“ ili terminal kako biste „popravili“ vezu. Ovaj obrazac (ponekad nazivan ClickFix) uobičajen je način da se ljudi prevare da sami instaliraju malver, a nijedan legitimni Wi‑Fi portal nikada ne zahteva da pokrenete komandu.

Korak po korak: bezbedno povezivanje

  1. Pre putovanja isključite automatsko povezivanje na otvorene mreže. Na telefonu: Settings → Wi‑Fi → isključite „Auto‑Join“ ili „Auto‑Connect“ za otvorene/nezaštićene mreže (tačan naziv zavisi od uređaja). Time sprečavate uređaj da se kasnije neprimetno ponovo poveže na lažnu mrežu sličnog naziva.
  2. Zaboravite stare javne mreže koje više ne koristite. Ako su na laptopu ili telefonu sačuvani „Airport_Free_WiFi“ ili mreža nekog starog hotela, obrišite ih. Napadači mogu emitovati mrežu s istim nazivom („zli blizanac“), a vaš uređaj se može automatski povezati s njom jer prepoznaje naziv.
  3. Kada se povežete na pravu mrežu, označite je kao javnu/nepouzdanu. Windows i macOS pitaju da li je nova mreža „javna“ ili „privatna“/„pouzdana“ — izaberite javnu. Time se onemogućavaju deljenje datoteka i otkrivanje mreže, čime se ograničava ono što drugi uređaji na toj mreži mogu da vide ili dosegnu na vašem uređaju.
  4. Pročitajte stranicu portala pre nego što bilo šta unesete. Uporedite je sa gornjim spiskom „uobičajeno naspram neuobičajenog“. Ako traži prijavljivanje preko identitetskog provajdera, kod uređaja ili želi da pokrenete komandu, zatvorite karticu, a zatim pitajte recepciju ili registracioni pult za tačan naziv mreže i lozinku — ne verujte stranici koja vam govori kako se mreža zove.
  5. Unesite samo minimum koji portal zahteva — obično broj sobe, prezime ili kod koji ste dobili lično. Nikada ne unosite lozinku za imejl ili nalog koji koristite na drugim mestima.
  6. Kada prođete kroz portal, uključite VPN pre nego što uradite bilo šta drugo. Ovo je najdelotvorniji pojedinačni korak, jer znači da je, čak i ako je sama mreža zlonamerna, sve nakon toga šifrovano u tunelu koji operater mreže (ili napadač na njoj) ne može da čita niti da preusmerava. Uradite to pre provere imejla, prijavljivanja na bilo šta ili otvaranja bankarskih aplikacija.
  7. Ako nemate VPN, odložite osetljiva prijavljivanja za kasnije ili umesto toga koristite mobilne podatke telefona. Pretvaranje telefona u lični hotspot i povezivanje laptopa s njim, čak i nakratko, potpuno izbegava mrežu objekta za sve osetljivo — bankarstvo, poslovni imejl i otključavanje menadžera lozinki.
  8. Kada odlazite, zaboravite mrežu (i na telefonu i na laptopu), umesto da je neograničeno ostavite na spisku sačuvanih mreža.

Ako mislite da ste već naseli na jednu

Ako ste uneli lozinku za Microsoft, Google ili neki drugi nalog na stranici za prijavljivanje na Wi‑Fi ili završili postupak sa kodom uređaja koji niste sami pokrenuli, smatrajte da je nalog kompromitovan: odmah promenite lozinku sa pouzdane mreže ili uređaja, proverite nedavne prijave na nalog i povezane uređaje/sesije i odjavite sve što ne prepoznajete, a zatim pregledajte povezane aplikacije ili „aplikacije sa pristupom vašem nalogu“ i uklonite sve što niste odobrili — fišing sa kodom uređaja napadaču konkretno daje token bez potrebe za vašom lozinkom, pa sama promena lozinke možda neće ukloniti njegov pristup. Ako ste kliknuli na „ažuriraj odmah“ ili pokrenuli komandu iz iskačućeg prozora, isključite taj uređaj sa interneta i tretirajte ga kao potencijalno zaraženog dok ne bude skeniran ili ponovo podešen, jer su sadržaji opisani u ovakvoj kampanji uključivali alate sposobne da beleže pritiske na tastere i aktiviraju veb-kameru ili mikrofon.

Zaključak

Portal sa obaveznom prijavom sam po sebi nije sumnjiv — on je normalan, dosadan deo putovanja. Rizik se menja u zavisnosti od toga šta traži da uradite. Stranica koja želi vaš broj sobe radi svoj posao. Stranica koja želi vašu Microsoft lozinku, kod uređaja ili komandu nalepljenu u terminal više nije ekran za prijavljivanje na Wi‑Fi — to je fišing stranica koja se prerušila u njega. Ako znate da ih razlikujete i za sve osetljivo posegnete za VPN‑om ili hotspotom telefona, zatvarate upravo trenutak od kog ovakav napad zavisi.