Общественный Wi-Fi в кафе и аэропортах: чем он опасен

В начале 2025 года администрация Шереметьево разослала напоминание: подключаться в аэропорту следует только к сети «Sheremetyevo Wi-Fi». Поводом стал случай, когда специалисты по информационной безопасности обнаружили в зале вылета точку «SVO_Free». Она предлагала авторизоваться через Telegram и ввести шестизначный код из чата с сервисным ботом. Этот код оказывался кодом входа в аккаунт мессенджера.

Пример показателен тем, что взлом шифрования здесь не понадобился. Атака целиком держалась на ожиданиях пользователя: в аэропорту должна быть бесплатная сеть, у неё должна быть страница входа, на странице входа что-то вводят. Общественный Wi-Fi в 2026 году опасен не столько криптографией, сколько тем, что сеть и её страницы контролирует посторонний, а проверить его личность клиент почти не может.

Домашний проводной интернет с личным роутером закрывает большую часть этих сценариев: сеть администрирует сам пользователь, посторонних клиентов в ней нет, а имя точки не может подменить сосед по залу (https://дом.ru.com/).

Что видит чужая сеть сегодня: HTTPS, DNS, SNI и метаданные​

Советы десятилетней давности исходили из картины, где логин и пароль уходят по сети открытым текстом, а любой пользователь с анализатором пакетов их читает. Сегодня большинство веб-трафика идёт через TLS, и эта картина устарела. Браузеры делают HTTPS нормой: по анонсу Google от осени 2025 года режим «всегда использовать защищённые соединения» должен стать стандартным в Chrome 154 (релиз ожидался в октябре 2026 года), а при первом заходе на сайт без шифрования пользователь получит предупреждение. Для публичных сайтов такой порядок означает, что предупреждение будет появляться редко: в эксперименте на Chrome 141 большинство участников видели его не чаще раза в неделю, а 95% — не более трёх раз за неделю. Значит, незашифрованных сайтов в обычном маршруте пользователя осталось немного.

Это не делает открытую сеть безопасной, потому что шифрование скрывает содержимое, но не сам факт обмена. Что остаётся видимым владельцу точки доступа или соседу по эфиру при трафике поверх TLS:

• IP-адреса назначения. По адресу и порту обычно ясно, какому сервису принадлежит соединение, особенно если сайт сидит на выделенном адресе.
• DNS-запросы. Если система использует резолвер сети по умолчанию, каждый запрос имени уходит по UDP/53 без шифрования. Это полный журнал посещённых доменов с отметками времени. DNS поверх HTTPS и TLS (DoH и DoT) закрывает этот канал, но только когда клиент настроен на него явно или браузер включил его сам.
• SNI. В первом сообщении TLS-рукопожатия (ClientHello) клиент передаёт имя сервера открытым текстом, чтобы балансировщик выбрал нужный сертификат. Расширение ECH (Encrypted Client Hello) прячет это поле, однако работает только там, где его поддерживают и браузер, и сервер, и CDN, и публикует ключ в DNS.
• Размеры и тайминги пакетов. По ним определяют тип активности: видеозвонок, загрузка файла, просмотр страницы. Содержимое остаётся закрытым, но профиль поведения виден.
• Идентификаторы устройства. Имя хоста из DHCP, MAC-адрес, список ранее известных сетей в probe-запросах (на современных ОС с рандомизацией MAC эта утечка заметно меньше, чем в 2015 году, но не исчезла полностью).

Текстовые протоколы тоже встречаются. Страница портала авторизации чаще всего отдаётся по HTTP, потому что у временной точки доступа нет доверенного сертификата для произвольного домена. Служебный трафик локальной сети (mDNS, LLMNR, NetBIOS, SMB), старые клиенты почты и FTP, приложения с ошибками проверки сертификата — всё это продолжает давать материал для атаки.

Атаки по типам: двойник точки, подмена DNS, MITM, захватывающий портал, перехват сессий​

Поддельная точка (evil twin). Злоумышленник поднимает сеть с тем же SSID, что у легитимной, или с похожим названием («Airport_Free», «Cafe_Guest»). Клиент выбирает точку с лучшим уровнем сигнала, поэтому достаточно оказаться ближе к жертве, чем настоящий роутер. Отдельный вариант — ответы на probe-запросы: устройство, которое ищет ранее сохранённую сеть по имени, получает «подтверждение» от любой точки, готовой назваться этим именем (класс атак KARMA). Современные ОС ограничивают такое поведение, но для открытых сетей без пароля подмена остаётся тривиальной: у клиента нет никакого способа отличить две точки с одним именем. Для атаки хватает ноутбука, телефона и недорогого специализированного устройства вроде Wi-Fi Pineapple.

Деаутентификация. Кадры управления в классическом 802.11 не подписаны, поэтому подделанный кадр deauth отключает клиента от настоящей точки, и тот автоматически переподключается — нередко к двойнику с более сильным сигналом. Защита называется Protected Management Frames (стандарт 802.11w): в WPA3 она обязательна, в WPA2 включается опционально, и в публичных сетях её нередко не включают из-за совместимости со старыми клиентами.

Подмена трафика внутри сети (ARP spoofing и аналоги). Если клиентская изоляция на точке отключена, участник сети отправляет соседям поддельные ARP-ответы и становится для них шлюзом. С этого момента весь трафик проходит через его машину. Такой узел может молча пересылать пакеты (пассивный сбор метаданных) или менять их (активная атака).

Подмена DNS. Контролируя резолвер, атакующий отвечает на запрос поддельным адресом. Для сайтов с корректным HTTPS это не даёт подмены содержимого, так как сертификат не совпадёт, но ломает остальное: приложения, которые не проверяют сертификат строго, сервисы обновлений через HTTP, любые страницы без HSTS, куда пользователь заходит первый раз.

Понижение до HTTP (SSL stripping). Прокси на пути трафика переписывает ссылки и редиректы с https на http, а к сайту подключается сам по HTTPS. Пользователь видит страницу без замка и, как правило, не замечает разницы. От этого защищают HSTS (браузер заранее знает, что сайт доступен только по HTTPS) и его предзагруженный список (preload), но защита работает только для доменов, которые вошли в список или уже посещались.

Захватывающий портал. Самый результативный сценарий для публичных сетей, и он вообще не касается криптографии. Страница входа выглядит как страница сети: логотип, пункт «принять условия», поле для номера телефона или код из SMS. Пользователь отдаёт данные сам. Именно так сработал «SVO_Free» в Шереметьево: код в шести цифрах, который портал просил ввести, на самом деле был кодом входа в Telegram. Вариантов того же приёма — десятки: поддельная форма входа в соцсеть («войдите через аккаунт, чтобы получить интернет»), запрос данных карты «для проверки возраста», предложение установить «сертификат безопасности» или приложение для доступа.

Перехват сессий. После входа в сервис клиент хранит cookie или токен. Если хоть один запрос уходит по HTTP или если приложение раскрывает токен в заголовке, его можно переиспользовать с другого устройства, и пароль для этого не нужен.

Общий пароль (WPA2-Personal). Сеть с паролем на стикере выглядит надёжнее открытой, но защита здесь условна. В WPA2-PSK ключ сессии выводится из пароля сети и параметров рукопожатия, так что участник, знающий пароль и перехвативший рукопожатие другого клиента, может расшифровать его трафик. Двойник с тем же паролем тоже поднимается без усилий: пароль известен всем посетителям. WPA3-Personal (SAE) убирает пассивную расшифровку и офлайн-подбор, а общий пароль перестаёт быть ключом ко всему трафику, но проблема доверия к самой точке остаётся.

Реальные случаи и статистика​

Австралия: двойники в аэропортах и на борту самолёта. В конце 2025 года суд в Западной Австралии приговорил 44-летнего Майкла Клапсиса (Michael Clapsis) к 7 годам и 4 месяцам лишения свободы, возможное условно-досрочное освобождение — не раньше 2030 года. Он разворачивал поддельные сети на устройстве Wi-Fi Pineapple в аэропортах Перта, Мельбурна и Аделаиды, а также на внутренних рейсах. Люди, подключившиеся к «точке», попадали на фальшивую страницу входа, где вводили учётные данные, а тот их сохранял. Доступ к почте и соцсетям позволял тому добраться до личных данных: из захваченных аккаунтов женщин он выгрузил более 700 фото и видео 17 пострадавших за шесть лет. Расследование началось в апреле 2024 года, когда авиакомпания сообщила о подозрительной сети на внутреннем рейсе; при досмотре в багаже нашли портативное беспроводное устройство, ноутбук и телефон. Максимальное наказание по предъявленным обвинениям составляло 23 года. Важная деталь для модели угроз: атака была дешёвой, технически простой и не требовала взлома криптографии, а заметила её служба авиакомпании, а не сами пострадавшие.

Шереметьево: «SVO_Free». В зале вылета была обнаружена точка с этим именем, запрашивавшая авторизацию через Telegram. В предупреждении аэропорта (публикация от 1 февраля 2025 года) сказано, что мошенники создают поддельные точки для перехвата сессий и фишинга, выманивая коды доступа и далее отправляя сообщения от имени жертвы её контактам. Сколько всего двойников зафиксировано, аэропорт не уточнил: на вопросы о числе инцидентов администрация не ответила.

Рост нагрузки. По данным «Ростелекома», переданным в сентябре 2025 года со ссылкой на «Ведомости», за лето число подключений к общественным Wi-Fi-сетям выросло более чем в 3,5 раза, а трафик — почти в 4,5 раза. Одновременно проект «На связи» зафиксировал рост числа отключений мобильного интернета с 69 случаев в мае до около 2000 в июле в 73 регионах. Вероятно, часть пользователей оказывалась в публичной сети просто потому, что мобильная связь не работала. «Лаборатория Касперского» и банки, включая «Сбер», предупреждают, что в период сбоев мобильного интернета публичные сети могут быть небезопасны.

Российский контекст: идентификация пользователей, порталы с номером телефона, риски​

В России бесплатный доступ без идентификации почти не встречается, и это изменило поверхность атак. Постановление Правительства № 758, вступившее в силу в августе 2014 года, возложило на владельцев пунктов коллективного доступа обязанность устанавливать личность пользователей. Разрешённые способы — номер мобильного телефона, учётная запись «Госуслуг» или документ, удостоверяющий личность; вход через социальные сети не считается идентификацией, потому что не привязывает аккаунт к конкретному человеку. Отвечает за это владелец точки: либо строит систему сам (captive portal, база пользователей, договоры), либо покупает услугу у провайдера авторизации. Сроки хранения журналов задаются отдельными актами и в источниках для этой статьи не приводятся; их следует сверять с действующей редакцией нормативных актов.

Для пользователя это означает три вещи, которые обычно не обсуждаются.

• Номер телефона уходит не только владельцу точки. Он передаётся оператору связи или SMS-агрегатору, который отправляет код или совершает звонок-подтверждение. Данные оседают в хранилище, где и как долго — определяет конкретный портал. База номеров с привязкой к MAC-адресу и времени визита — ценный актив и цель для утечки.
• Владелец точки может видеть больше, чем ожидает пользователь. На большинстве роутеров доступны IP, MAC и имя устройства, а с дополнительным ПО — и посещаемые домены, время и длительность сеансов, а также незашифрованный HTTP-трафик. HTTPS защищает содержимое, но не сам факт посещения.
• Страница «введите код» стала привычной. Именно поэтому фишинг через поддельный портал работает: просьба ввести номер не вызывает подозрений, а код из SMS или мессенджера выглядит обычным шагом подтверждения.

Практическое правило, которое следует из предыдущего раздела: код, пришедший в мессенджер или в приложение банка, в портал вводить нельзя. Если при входе в сеть просят его, это признак атаки. Допустим лишь один вариант: код приходит в SMS на тот номер, который был введён на этой же странице, и пользователь не инициировал никакого другого входа в это время. В такой схеме есть ещё одно условие: перед вводом стоит убедиться, что точка называется так, как указано у площадки на сайте или на табличке. В Шереметьево такое имя одно: «Sheremetyevo Wi-Fi», вход — по номеру телефона.

Защита: что работает, чего не даёт VPN, настройки устройства​

Сначала — отказ от самого подключения. Радикально уменьшает риск выбор канала, который контролирует сам пользователь: мобильный интернет своего оператора, вторая SIM или eSIM, режим модема на телефоне с надёжным паролем (WPA2 или WPA3). Ноутбук, раздающий сеть с телефона, остаётся в личной сети из двух узлов: двойнику там нечего подменять. Основной риск такого варианта — пароль точки, который не должен быть коротким или стандартным.

Настройки устройства, которые дают реальный эффект:

• Автоподключение к открытым сетям — выключить, список сохранённых сетей — почистить. Каждая запомненная «бесплатная» сеть — потенциальная цель для атаки по ответам на probe-запросы.
• Приватный MAC-адрес для каждой сети. На iOS, Android и Windows рандомизация включается в настройках Wi-Fi; она затрудняет профилирование по адресу между точками, но не мешает порталу связать ваш телефонный номер с адресом на время сеанса.
• Профиль сети «Общественная» (или аналог). При нём выключены общий доступ к файлам и обнаружение устройства, включён брандмауэр. Так закрывается SMB/NetBIOS/mDNS-поверхность из предыдущих разделов.
• Защищённый DNS. «Частный DNS» (DoT) на Android, безопасный DNS (DoH) в браузере или на уровне ОС убирают журнал запросов из эфира и осложняют подмену ответов. В сетях с порталом нужно быть готовым, что до авторизации он может блокировать такой трафик.
• HTTPS-режим браузера и строгая реакция на предупреждения сертификата. Ошибка сертификата на знакомом сайте в публичной сети не «сбой», а вероятный MITM. Продолжать нельзя.

Что даёт VPN и чего не даёт. VPN шифрует трафик между устройством и сервером VPN, а значит, прячет от локальной сети DNS-запросы, SNI, IP-адреса назначения и профиль трафика, а также закрывает SSL stripping и пассивное наблюдение. То, что он не делает, важнее в разговоре об атаках из предыдущих разделов:

• он не проверяет, что точка настоящая: туннель поднимается поверх любого подключения, в том числе поддельного;
• он не защищает от захватывающего портала: форму входа показывают до того, как VPN включён, и введённые там данные уходят на портал;
• он не защищает от фишинга и вредоносных приложений: код в поддельный портал всё равно уйдёт злоумышленнику;
• он переносит доверие с владельца точки на оператора VPN: тот видит то же самое (DNS, SNI, IP), что раньше видел владелец сети. Бесплатный сервис без понятной модели дохода часто хуже самой публичной сети.

Рабочий порядок в публичной сети с порталом: сначала пройти портал на странице, адрес которой совпадает с ожидаемым, не вводя ничего, кроме номера, затем включить туннель, затем работать.

Wi-Fi Enhanced Open (OWE). Решение для открытых сетей: трафик каждого клиента шифруется своим ключом без ввода пароля, так что пассивный перехват соседом бессмысленным. Но в RFC 8110 записано прямо: оппортунистическое шифрование не обеспечивает аутентификации, и протокол уязвим к активной атаке, в которой противник выдаёт себя за точку доступа. Двойник с OWE — тот же двойник, просто с шифрованием до него же.

Факторы входа, привязанные к домену. Пароль и SMS-код фишинговая страница передаёт на настоящий сайт в режиме реального времени; ключ доступа FIDO2/passkey привязан к оригину и на поддельном домене просто не сработает. Для почты, облака, банка и рабочих аккаунтов это единственная защита, которая не зависит от бдительности пользователя в минуту спешки в зале вылета.

Для владельцев точек: безопасная гостевая сеть​

Кафе, отель или магазин, предлагающие Wi-Fi, отвечают за две задачи: защитить свою внутреннюю сеть от гостей и защитить гостей от друг друга и от подмены самой точки. Минимальный набор мер:

• Отдельный VLAN и сетевой сегмент для гостей. Кассы, платёжные терминалы, учётная система, видеонаблюдение и рабочие станции — в других сегментах. На межсетевом экране гостевой сегмент получает только выход в интернет и необходимый DNS; доступ к частным диапазонам адресов запрещён. Для сети, где обрабатываются карты, это требование не просто рекомендация, а часть базовой гигиены платёжных стандартов.
• Изоляция клиентов на уровне точки. Один гость не должен видеть другого, это убирает ARP-подмену и сканирование соседних устройств.
• Портал только по HTTPS, с валидным сертификатом на собственном домене. Тогда клиент хотя бы может сверить адрес страницы, а подделка становится заметнее. Принимать должны только номер телефона и код из SMS, никаких кодов из мессенджеров, входа через соцсети и установки приложений.
• Ровно одно имя сети, опубликованное там, где гость его увидит: на табличке, в меню, в QR-коде с параметрами подключения. Одинаковый SSID на всех точках — полезно для роуминга, но делает двойника невидимым, поэтому требует контроля.
• Обнаружение чужих точек. Контроллер с функцией WIPS/rogue AP detection сравнивает эфир с списком своих BSSID и сигнализирует о точках с тем же SSID и чужим адресом. Даже без дорогого оборудования обход помещения сканером эфира раз в неделю даёт заметный эффект.
• WPA3 или OWE плюс защищённые кадры управления (802.11w). OWE открывает шифрование для новых клиентов, а transition-режим сохраняет совместимость со старыми.
• Реальная аутентификация точки — только через методы с сертификатом сервера (802.1X/EAP, Passpoint). Для кафе это часто избыточно, но для аэропорта, торгового центра или сети отелей — единственный механизм, позволяющий клиенту криптографически убедиться, что он говорит с нужной сетью.
• Хранение данных идентификации. Номера телефонов, MAC-адреса и время сеансов — персональные данные; их нужно хранить в сроки, которые требует закон, и защищать от утечки так же, как любую другую базу.

Чек-лист: до подключения, во время, после​

До подключения

• Решить, нужна ли публичная сеть: достаточно ли мобильного интернета, второй SIM или режима модема.
• Узнать точное имя сети у персонала, на табличке или на сайте площадки, а не выбирать из списка по уровню сигнала.
• Проверить, что автоподключение к открытым сетям выключено, а список сохранённых сетей очищен.
• Включить приватный MAC-адрес, брандмауэр и профиль «Общественная сеть»; отключить общий доступ к файлам и обнаружение устройства.
• Убедиться, что включён защищённый DNS, а система и браузер обновлены.
• Для важных аккаунтов (почта, банк, облако, работа) заранее настроить passkey или аппаратный ключ FIDO2.

Во время подключения и работы

• Вводить в портале только номер телефона и код из SMS, пришедший именно на этот запрос.
• Не вводить коды из мессенджеров и банковских приложений, не входить через соцсети на странице входа, не вводить данные карты.
• Не устанавливать приложения, профили и сертификаты, если их требует портал.
• При любом предупреждении браузера о сертификате — отказаться от продолжения и сменить канал.
• Включать VPN только после прохождения портала и только если его оператору есть основания доверять.
• Не работать с банком, административными панелями и корпоративными системами через публичную сеть, если есть альтернатива.

После сеанса

• Забыть сеть в настройках и отключить Wi-Fi, если он не нужен.
• При подозрении на перехват кода или входа: завершить все активные сеансы в аккаунте (в Telegram — в списке устройств), сменить пароль с другого устройства, проверить журнал входов.
• Оповестить контакты, если с аккаунта могли рассылаться сообщения.
• Сообщить владельцу площадки о подозрительной точке с похожим именем.