Pułapki evil twin Wi-Fi w podróży: fałszywe hotspoty, portale captive i australijski wyrok
Każde lotnisko, hotel i kabina samolotu ma dziś swoją znajomą darmową sieć, a większość podróżnych łączy się z nią bez zastanowienia. Złośliwy bliźniak (evil twin) wykorzystuje właśnie ten nawyk: to fałszywy hotspot, który pożycza nazwę legalnej sieci. Urządzenia, które wcześniej łączyły się z prawdziwą siecią, mogą automatycznie połączyć się z podrobioną, a nowi użytkownicy nie widzą różnicy, bo nazwa sieci Wi-Fi nie poświadcza żadnej tożsamości.
Od aktu oskarżenia do wyroku
Najbardziej wymowny niedawny przykład pochodzi z Australii. W kwietniu 2024 roku linia lotnicza zgłosiła australijskiej policji federalnej (AFP) podejrzaną sieć podszywającą się pod jej legalne Wi-Fi podczas lotu krajowego. 19 kwietnia 2024 roku śledczy przeszukali bagaż podręczny pasażera na lotnisku w Perth i zabezpieczyli przenośny punkt dostępowy, laptopa i telefon. 28 czerwca 2024 roku AFP postawiło 42-letniemu mieszkańcowi Australii Zachodniej dziewięć zarzutów: podobno rozstawiał fałszywe sieci na lotniskach w Perth, Melbourne i Adelaide, w lotach krajowych i w innych miejscach, a wyświetlały one stronę z prośbą o zalogowanie się kontem e-mail lub mediów społecznościowych; wpisane dane logowania zapisywały się na jego urządzeniach (AFP)."Żeby połączyć się z darmowym Wi-Fi, nie powinno się musieć podawać danych osobowych - na przykład logować się przez konto e-mail albo mediów społecznościowych", powiedziała inspektor dochodzeniowa AFP Andrea Coleman, ogłaszając zarzuty.Historia nie skończyła się na akcie oskarżenia. W listopadzie 2025 roku AFP poinformowała, że mężczyzna, mający już 44 lata, przyznał się do winy w 15 punktach przed sądem okręgowym w Perth i został skazany na siedem lat i cztery miesiące więzienia, z możliwością ubiegania się o warunkowe zwolnienie po pięciu latach. Analiza kryminalistyczna jego urządzeń ujawniła dane logowania innych osób oraz tysiące intymnych zdjęć i filmów skradzionych z kont kobiet. Według AFP sprzętem było przenośne narzędzie do testów bezpieczeństwa sprzedawane jako "Wi-Fi Pineapple", które podsłuchuje urządzenia szukające zaufanych sieci i automatycznie klonuje jedną z nich - a fałszywe strony logowania w ogóle nie dawały dostępu do internetu. Ich jedyną funkcją było zbieranie danych (AFP).
Dlaczego sztuczka działa
Mechanika jest prosta. Fałszywy hotspot nadający z większą mocą niż legalna sieć może ją wypchnąć z listy, którą pokazuje telefon; analiza Kaspersky sprawy na pokładzie odnotowuje, że ofiary widziały tylko fałszywą sieć, bo jej sygnał był silniejszy (kaspersky.com). Reszty dokonują portale captive: strona, której oczekuje podróżny - numer pokoju, adres e-mail, logowanie przez społecznościówkę - to dokładnie ta strona, którą atakujący potrafi podrobić. Niektóre miejsca koncentrują ryzyko. Linie lotnicze coraz częściej nadają rozrywkę na urządzenia samych pasażerów, więc łączenie z siecią pokładową wydaje się rutyną, a na wysokości przelotu nie ma alternatywy komórkowej. Autor Kaspersky opisywał szanse powodzenia takiego schematu jako "pewniak": oddaj dane logowania albo spędź lot bez rozrywki.Co zmienia HTTPS, a czego nie
Obraz jest mniej ponury niż dekadę temu. Jak zauważa amerykańska FTC, dziś większość stron korzysta z szyfrowania i to w dużej mierze dlatego uznaje publiczne sieci Wi-Fi za ogólnie bezpieczniejsze niż kiedyś (consumer.ftc.gov). Najcięższą pracę wykonuje szyfrowanie transportowe: bliźniak może przekazywać twój ruch, ale poprawnie zaszyfrowane połączenie z prawdziwą stroną pozostaje nieczytelne dla tego, kto je przekazuje. Zastrzeżenia ważą tyle co reguła. Szyfrowanie chroni połączenie, nie decyzję podjętą wcześniej: hasło wpisane w fałszywy portal oddawane jest dobrowolnie, zanim dojdzie do jakiegokolwiek uzgodnienia z prawdziwą usługą. FTC przestrzega też, że kłódka nie mówi nic o tym, kto prowadzi stronę, bo oszuści również zdobywają certyfikaty dla fałszywych stron. A nawet przy pełnym szyfrowaniu fałszywy punkt dostępowy wciąż widzi metadane: jakie domeny rozwiązujesz i do jakich serwerów się łączysz. Co ciekawe, ani australijskie śledztwo, ani opublikowane analizy takich kampanii nie polegają na złamaniu szyfrowania. Nie potrzebują tego.Praktyczna postawa
Nic z tego nie wymaga paranoi, tylko krótkiej checklisty stosowanej konsekwentnie:- Traktuj każdy portal żądający logowania przez e-mail, media społecznościowe lub dane płatnicze jako wrogi; prawdziwe darmowe Wi-Fi tego nie potrzebuje, na co po sprawie wskazywało AFP.
- Potwierdzaj dokładną nazwę sieci u personelu na ziemi i według instrukcji w fotelu w powietrzu, zamiast ufać najsilniejszemu sygnałowi.
- Gdy taryfa pozwala, wybieraj internet z własnego telefonu zamiast cudzych hotspotów.
- Wyłączaj automatyczne łączenie, każ urządzeniom zapominać sieci po użyciu i wyłączaj Wi-Fi, kiedy nie jest potrzebne.
- Przynoś własne szyfrowanie: włącz VPN od razu po połączeniu i zachowuj zwyczajową higienę Tora przy wszystkim wrażliwym; jeśli VPN się nie łączy, ani poczty, ani banku w tej sieci.
- Nigdy nie instaluj aplikacji, wtyczek ani certyfikatów oferowanych przez portal i rozłącz się, gdy o nie poprosi.