Du öppnar din laptop på ett hotellrum eller i en konferenshall, klickar på Wi-Fi-ikonen, och ett webbläsarfönster dyker upp som ber dig logga in eller godkänna villkor innan du kommer online. Oftast är detta helt normalt — det kallas en captive portal, och hotell, flygplatser och konferenscenter använder dem för att kontrollera åtkomsten till sitt nätverk. Men samma inloggningssida är också en nästan perfekt förklädnad för en angripare, eftersom du förväntar dig att se en sådan, du har bråttom, och du har inget sätt att självständigt verifiera vem som faktiskt byggt sidan du tittar på.

Forskare på Microsoft avslöjade nyligen en kampanj, spårad som "CaptiveCrunch", där angripare positionerade sig inuti hotell- och konferens-Wi-Fi-nätverk och manipulerade trafiken som resenärer såg i just det ögonblicket — genom att omdirigera captive-portal-sessioner till falska inloggningssidor (inklusive övertygande falska Microsoft-inloggningsskärmar) utformade för att samla in lösenord, enhetskoder och OAuth-token, eller för att visa falska dialogrutor om "uppdatering krävs" som installerar fjärråtkomstmalware som kan läsa tangenttryckningar och aktivera en webbkamera eller mikrofon. Poängen är inte att varje hotell-Wi-Fi-inloggning är en fälla — den överväldigande majoriteten är inte det. Poängen är att just detta ögonblick, när du förväntas skriva in något på en okänd sida innan du ens är online, är ett mjukt mål, och det är värt att ha en rutin för det.

Varför det här ögonblicket skiljer sig från vanlig phishing

Vanlig phishing-utbildning säger åt dig att kontrollera avsändaren, hovra över länkar, leta efter ett hänglås. Captive portals bryter mot de flesta av dessa vanor. Du navigerade inte till sidan själv — din enhet omdirigerades dit automatiskt. Det finns ingen "Från:"-adress att kontrollera. Sidan laddas ofta utan ett normalt adressfält synligt (vissa operativsystem öppnar den i ett avskalat webbläsarfönster), och du kan befinna dig på ett nätverk du varken kontrollerar eller kan verifiera, så även ett till synes korrekt HTTPS-hänglås talar bara om att anslutningen till just den sidan är krypterad — inte att sidan i sig är legitim eller att nätverket inte manipulerar det du ser.

Vad en legitim captive portal bör — och inte bör — be om

Använd detta som ditt grundfilter varje gång en av dessa sidor dyker upp:

  • Normalt: ditt efternamn och rumsnummer, en konferensbricka eller registreringskod, att godkänna användarvillkor, en e-postadress för ett kvitto, eller en engångskod som skickas via sms för att verifiera att du är en betalande gäst.
  • Inte normalt: en begäran om att logga in med ditt Microsoft-, Google-, Apple- eller företagsidentitetskonto. Ett äkta Wi-Fi-system på en anläggning har ingen legitim anledning att behöva ditt Microsoft-lösenord för att ge dig internetåtkomst.
  • Inte normalt: en uppmaning att ange en "enhetskod" som visas för dig någon annanstans, eller en sida som säger något i stil med "gå till microsoft.com/devicelogin och ange den här koden." Detta är en äkta Microsoft-funktion (som används för att logga in på enheter som smarta tv-apparater) som angripare missbrukar just för att den låter dem kapa ditt konto utan att någonsin se ditt lösenord. Om en Wi-Fi-inloggningssida leder dig genom ett enhetskodsflöde, stanna — stäng webbläsaren och gå inte vidare.
  • Inte normalt: en popup som säger att din webbläsare eller Windows behöver en akut uppdatering, särskilt en som ber dig kopiera ett kommando och klistra in det i en "Kör"-ruta eller terminal för att "fixa" anslutningen. Detta mönster (ibland kallat ClickFix) är ett vanligt sätt att lura folk att själva installera skadlig kod, och ingen legitim Wi-Fi-portal behöver någonsin att du kör ett kommando.

Steg för steg: att ansluta säkert

  1. Innan du reser, stäng av automatisk anslutning för öppna nätverk. På din telefon: Inställningar → Wi-Fi → stäng av "Auto-Join" eller "Auto-Connect" för öppna/osäkra nätverk (exakt formulering varierar beroende på enhet). Detta hindrar din enhet från att i tysthet återansluta till ett liknande namngivet skadligt nätverk senare utan att du märker det.
  2. Glöm bort gamla publika nätverk du inte längre använder. Om din laptop eller telefon har "Airport_Free_WiFi" eller ett gammalt hotellnätverk sparat, ta bort det. Angripare kan sända ut ett nätverk med samma namn (en "evil twin") och din enhet kan ansluta till det automatiskt eftersom den känner igen namnet.
  3. När du ansluter till det riktiga nätverket, markera det som publikt/opålitligt. Både Windows och macOS frågar om ett nytt nätverk är ett "publikt" eller "privat"/"pålitligt" nätverk — välj publikt. Detta stänger av fildelning och nätverksidentifiering, vilket begränsar vad annat på det nätverket kan se eller nå på din enhet.
  4. Läs portalsidan innan du skriver in något. Jämför den med listan "normalt kontra inte normalt" ovan. Om den ber om inloggning via en identitetsleverantör, en enhetskod, eller vill att du kör ett kommando, stäng fliken, och fråga istället i receptionen eller vid registreringsdisken efter det korrekta nätverksnamnet och lösenordet — lita inte på att en sida talar om vad nätverket heter.
  5. Ange endast det minimum portalen behöver — vanligtvis ett rumsnummer, efternamn, eller en kod du fått fysiskt överlämnad. Ange aldrig ditt e-postlösenord eller ett konto du använder någon annanstans.
  6. När du väl är igenom portalen, aktivera en VPN innan du gör något annat. Detta är det absolut mest effektiva steget, eftersom det innebär att även om själva nätverket är fientligt, är allt efter denna punkt krypterat i en tunnel som nätverksoperatören (eller en angripare på nätverket) inte kan läsa eller omdirigera. Gör detta innan du kollar e-post, loggar in någonstans, eller öppnar bankappar.
  7. Om du inte har en VPN, spara känsliga inloggningar till senare eller använd din telefons mobildata istället. Att göra din telefon till en personlig surfzon och ansluta din laptop till den, även bara kortvarigt, undviker anläggningens nätverk helt för allt känsligt — bankärenden, jobb-e-post, upplåsning av lösenordshanterare.
  8. När du lämnar, glöm nätverket (på både telefon och laptop) istället för att låta det ligga kvar i din lista över sparade nätverk på obestämd tid.

Om du tror att du redan har fallit för en sådan

Om du angav ett lösenord för Microsoft, Google eller ett annat konto på en Wi-Fi-inloggningssida, eller genomförde en enhetskodsuppmaning som du inte själv initierade, behandla kontot som komprometterat: byt det lösenordet omedelbart från ett pålitligt nätverk eller enhet, kontrollera kontots senaste inloggningsaktivitet och anslutna enheter/sessioner och logga ut allt du inte känner igen, samt granska anslutna appar eller "appar med åtkomst till ditt konto" efter allt du inte har godkänt — nätfiske via enhetskod ger specifikt en angripare ett token utan att någonsin behöva ditt lösenord, så ett byte av lösenord ensamt kanske inte tar bort deras åtkomst. Om du klickade dig igenom en "uppdatera nu"-ruta eller körde ett kommando från en popup, koppla bort den enheten från internet och behandla den som potentiellt infekterad tills den har skannats eller återställts, eftersom nyttolasterna som beskrivits i den här typen av kampanj har inkluderat verktyg som kan logga tangenttryckningar och aktivera din webbkamera eller mikrofon.

Slutsatsen

En captive portal är inte i sig misstänkt — det är en normal, tråkig del av att resa. Det som förändrar risken är vad den ber dig göra. En sida som vill ha ditt rumsnummer gör bara sitt jobb. En sida som vill ha ditt Microsoft-lösenord, en enhetskod, eller ett kommando inklistrat i en terminal är inte längre en Wi-Fi-inloggningsskärm — det är en phishing-sida utklädd till en sådan. Att känna till skillnaden, och att ta till en VPN eller din telefons surfzon för allt känsligt, stänger just det ögonblick som den här typen av attack är beroende av.