Bạn mở máy tính xách tay trong phòng khách sạn hoặc sảnh hội nghị, nhấp vào biểu tượng Wi-Fi, rồi một cửa sổ trình duyệt bật lên yêu cầu bạn đăng nhập hoặc chấp nhận các điều khoản trước khi có thể truy cập mạng. Phần lớn thời gian, điều này hoàn toàn bình thường — nó được gọi là cổng thông tin cưỡng bức (captive portal), và các khách sạn, sân bay, trung tâm hội nghị sử dụng chúng để kiểm soát quyền truy cập vào mạng. Nhưng chính trang đăng nhập đó cũng là lớp ngụy trang gần như hoàn hảo cho kẻ tấn công, vì bạn vốn mong đợi sẽ thấy một trang như vậy, đang vội, và không có cách nào độc lập xác minh ai thực sự tạo ra trang bạn đang xem.

Gần đây, các nhà nghiên cứu tại Microsoft đã công bố một chiến dịch được theo dõi với tên gọi "CaptiveCrunch", trong đó kẻ tấn công chen vào bên trong các mạng Wi-Fi của khách sạn và hội nghị, rồi thao túng lưu lượng mà du khách nhìn thấy đúng vào thời điểm đó — chuyển hướng các phiên captive portal sang những trang đăng nhập giả (bao gồm cả các màn hình đăng nhập Microsoft giả trông rất thuyết phục) được thiết kế để đánh cắp mật khẩu, mã thiết bị và token OAuth, hoặc bật các hộp thoại giả mạo kiểu "cần cập nhật" để cài phần mềm độc hại truy cập từ xa có khả năng đọc thao tác gõ phím và kích hoạt webcam hoặc micrô. Vấn đề không phải là mọi lần đăng nhập Wi-Fi khách sạn đều là một cái bẫy — đại đa số không phải. Vấn đề là khoảnh khắc cụ thể này, khi bạn được yêu cầu nhập thứ gì đó vào một trang xa lạ trước cả khi trực tuyến, là một mục tiêu dễ bị tấn công, và bạn nên có một quy trình xử lý cho tình huống này.

Vì sao khoảnh khắc này khác với lừa đảo thông thường

Các khóa đào tạo về lừa đảo thông thường dạy bạn kiểm tra người gửi, di chuột lên liên kết và tìm biểu tượng ổ khóa. Captive portal phá vỡ hầu hết những thói quen đó. Bạn không tự điều hướng đến trang này — thiết bị của bạn tự động bị chuyển hướng đến đó. Không có địa chỉ "From:" nào để kiểm tra. Trang này thường tải mà không hiển thị thanh địa chỉ thông thường (một số hệ điều hành mở nó trong cửa sổ trình duyệt rút gọn), và bạn có thể đang ở trên một mạng mà mình không kiểm soát cũng không thể xác minh, vì vậy ngay cả biểu tượng ổ khóa HTTPS trông đúng cũng chỉ cho biết kết nối đến trang đó được mã hóa — chứ không cho biết bản thân trang đó là hợp pháp hay mạng không thao túng những gì bạn nhìn thấy.

Một captive portal hợp pháp nên — và không nên — yêu cầu những gì

Hãy dùng danh sách này làm bộ lọc cơ bản mỗi khi một trong những trang này xuất hiện:

  • Bình thường: họ của bạn và số phòng, thẻ tham dự hội nghị hoặc mã đăng ký, việc đồng ý với điều khoản dịch vụ, địa chỉ email để nhận biên lai, hoặc mã dùng một lần được gửi qua tin nhắn để xác minh bạn là khách đã thanh toán.
  • Không bình thường: yêu cầu đăng nhập bằng tài khoản danh tính Microsoft, Google, Apple hoặc tài khoản công ty của bạn. Một hệ thống Wi-Fi thực sự của địa điểm không có lý do chính đáng nào để cần mật khẩu Microsoft của bạn nhằm cấp quyền truy cập internet.
  • Không bình thường: lời nhắc yêu cầu nhập "mã thiết bị" được hiển thị ở nơi khác, hoặc một trang nói điều gì đó như "truy cập microsoft.com/devicelogin và nhập mã này". Đây là một tính năng có thật của Microsoft (được dùng để đăng nhập vào các thiết bị như TV thông minh) nhưng kẻ tấn công lợi dụng nó đặc biệt vì tính năng này cho phép chúng chiếm quyền tài khoản của bạn mà không bao giờ nhìn thấy mật khẩu. Nếu trang đăng nhập Wi-Fi hướng dẫn bạn thực hiện quy trình bằng mã thiết bị, hãy dừng lại — đóng trình duyệt và không tiếp tục.
  • Không bình thường: bất kỳ cửa sổ bật lên nào nói rằng trình duyệt hoặc Windows của bạn cần được cập nhật khẩn cấp, đặc biệt là cửa sổ yêu cầu bạn sao chép một lệnh rồi dán vào hộp "Run" hoặc terminal để "sửa" kết nối. Kiểu thức này (đôi khi được gọi là ClickFix) là một cách phổ biến để lừa mọi người tự cài phần mềm độc hại, và không có cổng Wi-Fi hợp pháp nào cần bạn chạy lệnh.

Từng bước: kết nối an toàn

  1. Trước khi đi, hãy tắt tính năng tự động tham gia các mạng mở. Trên điện thoại: Cài đặt → Wi-Fi → tắt "Tự động tham gia" hoặc "Tự động kết nối" đối với các mạng mở/không bảo mật (cách gọi chính xác tùy thiết bị). Việc này ngăn thiết bị âm thầm kết nối lại với một mạng giả có tên tương tự sau đó mà bạn không nhận ra.
  2. Quên các mạng công cộng cũ mà bạn không còn sử dụng. Nếu máy tính xách tay hoặc điện thoại của bạn đã lưu "Airport_Free_WiFi" hoặc một mạng khách sạn cũ, hãy xóa mạng đó. Kẻ tấn công có thể phát một mạng có cùng tên ("bản sao độc") và thiết bị của bạn có thể tự động kết nối vì nhận ra tên mạng.
  3. Khi tham gia mạng thật, hãy đánh dấu mạng đó là công cộng/không đáng tin cậy. Cả Windows và macOS đều hỏi mạng mới là mạng "công cộng" hay "riêng tư"/"đáng tin cậy" — hãy chọn công cộng. Điều này vô hiệu hóa tính năng chia sẻ tệp và phát hiện mạng, hạn chế những gì các thiết bị khác trên mạng đó có thể nhìn thấy hoặc truy cập trên thiết bị của bạn.
  4. Đọc trang cổng thông tin trước khi nhập bất cứ thứ gì. Đối chiếu trang đó với danh sách "bình thường và không bình thường" ở trên. Nếu trang yêu cầu đăng nhập qua nhà cung cấp danh tính, mã thiết bị hoặc muốn bạn chạy một lệnh, hãy đóng thẻ, rồi hỏi quầy lễ tân hoặc bàn đăng ký tên mạng và mật khẩu chính xác — đừng tin một trang web tự cho bạn biết tên mạng là gì.
  5. Chỉ nhập thông tin tối thiểu mà cổng thông tin cần — thường là số phòng, họ hoặc một mã được trao tận tay cho bạn. Không bao giờ nhập mật khẩu email hoặc tài khoản mà bạn sử dụng ở nơi khác.
  6. Sau khi vượt qua cổng thông tin, hãy bật VPN trước khi làm bất cứ việc gì khác. Đây là bước hiệu quả nhất, vì nó có nghĩa là ngay cả khi bản thân mạng đó độc hại, mọi hoạt động sau thời điểm này đều được mã hóa trong một đường hầm mà nhà vận hành mạng (hoặc kẻ tấn công trên mạng đó) không thể đọc hoặc chuyển hướng. Hãy làm việc này trước khi kiểm tra email, đăng nhập vào bất kỳ dịch vụ nào hoặc mở ứng dụng ngân hàng.
  7. Nếu không có VPN, hãy để dành các lần đăng nhập nhạy cảm cho sau hoặc dùng dữ liệu di động của điện thoại thay thế. Biến điện thoại thành điểm phát sóng cá nhân rồi kết nối máy tính xách tay vào đó, dù chỉ trong thời gian ngắn, sẽ hoàn toàn tránh mạng của địa điểm đối với mọi hoạt động nhạy cảm — giao dịch ngân hàng, email công việc, mở khóa trình quản lý mật khẩu.
  8. Khi rời đi, hãy quên mạng đó (trên cả điện thoại và máy tính xách tay) thay vì để nó nằm vô thời hạn trong danh sách mạng đã lưu.

Nếu bạn nghĩ mình đã mắc bẫy

Nếu bạn đã nhập mật khẩu tài khoản Microsoft, Google hoặc tài khoản khác vào một trang đăng nhập Wi-Fi, hoặc hoàn tất lời nhắc dùng mã thiết bị mà chính bạn không khởi tạo, hãy coi tài khoản đó đã bị xâm phạm: lập tức đổi mật khẩu từ một mạng hoặc thiết bị đáng tin cậy, kiểm tra hoạt động đăng nhập gần đây và các thiết bị/phiên đã kết nối của tài khoản, rồi đăng xuất khỏi mọi thứ bạn không nhận ra; đồng thời xem lại các ứng dụng đã kết nối hoặc mục "ứng dụng có quyền truy cập vào tài khoản của bạn" để tìm bất kỳ thứ gì bạn không cho phép — hành vi lừa đảo bằng mã thiết bị cụ thể cấp cho kẻ tấn công một token mà không cần mật khẩu của bạn, vì vậy chỉ đổi mật khẩu có thể chưa đủ để loại bỏ quyền truy cập của chúng. Nếu bạn đã nhấp qua nút "cập nhật ngay" hoặc chạy một lệnh từ cửa sổ bật lên, hãy ngắt thiết bị đó khỏi internet và coi nó là có khả năng bị nhiễm cho đến khi được quét hoặc cài dựng lại, vì các payload được mô tả trong loại chiến dịch này từng bao gồm những công cụ có khả năng ghi lại thao tác gõ phím và kích hoạt webcam hoặc micrô.

Điều cần ghi nhớ

Captive portal vốn không đáng ngờ — đó là một phần bình thường, tẻ nhạt của việc đi du lịch. Điều làm thay đổi rủi ro là những gì nó yêu cầu bạn thực hiện. Một trang muốn số phòng của bạn đang làm đúng chức năng. Một trang muốn mật khẩu Microsoft, mã thiết bị hoặc một lệnh được dán vào terminal thì không còn là màn hình đăng nhập Wi-Fi nữa — đó là một trang lừa đảo đang khoác lớp hóa trang Wi-Fi. Biết được sự khác biệt, và sử dụng VPN hoặc điểm phát sóng trên điện thoại cho mọi việc nhạy cảm, sẽ loại bỏ đúng khoảnh khắc mà kiểu tấn công này phụ thuộc vào.