Loni v srpnu jsem na letišti sledovala ženu, která se přes otevřenou letištní síť přihlašovala do internetového bankovnictví, telefon položený na kolenou, žádné zaváhání. Chtěla jsem ji upozornit, ale odešla dřív, než jsem stihla cokoliv říct. Přesně tahle chvíle, otevřená síť plus přihlášení k účtu s penězi, je scénář, ve kterém útočníci na veřejné Wi-Fi nejvíc vydělávají.
Sama pracuji v korporátním IT prostředí, kde máme VPN povinnou na každém zařízení připojeném odkudkoli mimo kancelář. Díky tomu jsem si uvědomila, jak moc si běžný cestovatel problém vůbec nepředstavuje. Tam, kde firma chrání svá data automaticky, doma nebo na dovolené si každý řeší zabezpečení sám, nebo vůbec.
Proč je veřejná Wi-Fi rizikové místo
Otevřená síť na letišti, v hotelu nebo v kavárně obvykle nešifruje provoz mezi vaším telefonem a routerem, nebo šifruje jen část cesty. Kdokoli další v téže síti může se snadno dostupnými nástroji odchytávat data, která posíláte a přijímáte.
Nejčastější technika se jmenuje man-in-the-middle: útočník se technicky vloží mezi vaše zařízení a router, takže veškerá komunikace prochází přes jeho zařízení dřív, než dorazí na cílový server. Weby bez HTTPS jsou v takové situaci čitelné v otevřeném textu, včetně zadaných hesel. U HTTPS webů útočník obsah nepřečte, ale vidí, na jaké servery se připojujete a kdy, což mu stačí k profilování cíle.
Druhá varianta je falešný hotspot, takzvaný Evil Twin: síť se stejným nebo velmi podobným názvem jako ta legitimní, na kterou se telefon připojí automaticky, protože si podobný název pamatuje z minula. Od té chvíle jde veškerý provoz přes zařízení útočníka.
Podle NÚKIB patří sociální inženýrství a odchytávání dat na nezabezpečených sítích mezi trvale rostoucí hrozby, se kterými se čeští uživatelé setkávají i mimo firemní prostředí. Zvlášť v létě, kdy je na cestách nejvíc lidí, útočníci vědí, že pozornost klesá a spěch roste.
Krádež přihlášené relace
Session token je dočasný kód, který udržuje účet přihlášený po zadání hesla a 2FA. Když ho útočník získá z nezabezpečeného přenosu, podvodné stránky nebo napadeného zařízení, může relaci zneužít bez nového zadání hesla. Správně použité HTTPS brání běžnému odposlechu tokenu v síti. VPN neochrání token ukradený malwarem na zařízení.
Při podezření proto kromě změny hesla odhlaste aktivní relace. Postup po vyzrazení údajů popisuji také v článku co dělat po podvodném e-mailu.
Hierarchie bezpečného připojení na cestách
Toto je přístup, který sama používám a doporučuji v tomto pořadí:
1. Mobilní data (nejbezpečnější)
V rámci EU obvykle funguje český tarif za domácích podmínek, ale ověřte datový limit a pravidla svého operátora. Pro většinu dovolenkových aktivit, jako je navigace, platby nebo prohlídka emailu, mobilní data plně stačí a je to bezpečnější volba než jakoliv otevřená síť.
2. eSIM pro cesty mimo EU
Do Turecka nebo USA je eSIM s lokálním nebo globálním tarifem elegantní řešení. Neplatíte drakonické roaming poplatky a stále máte vlastní datové připojení bez závislosti na hotelové Wi-Fi. Služby jako Airalo nebo eSIM.me nabízejí krátkodobé balíčky od pár eur.
3. VPN na hotelové Wi-Fi (pokud musíte)
Pokud Wi-Fi potřebujete, třeba pro videohovor nebo přenos většího souboru, VPN je nutnost. Zašifruje veškerý provoz dřív, než opustí váš telefon, takže útočník v síti vidí jen nečitelný šum.
4. Nic z výše uvedeného: hotelová Wi-Fi bez ochrany
Tato varianta je reálná hrozba. Pokud v ní přistupujete k bankovnictví, firemnímu emailu nebo jakémukoli účtu s citlivými daty, riskujete.
VPN nastavím ještě doma
Na soukromém notebooku mám Proton VPN, protože mi vyhovuje švýcarská jurisdikce a transparentní přístup k soukromí. Na telefonu mám VPN ze stejného důvodu. Instalace je přes App Store nebo Google Play, přihlásíte se a jedním přepnutím aktivujete ochranu.
Nainstalujte oficiální aplikaci, zapněte kill switch a vyzkoušejte automatické připojení, pokud ho vaše aplikace a systém podporují. Na telefonu i notebooku otestujte připojení zvlášť. VPN zapněte hned po nutném přihlášení do hotelového portálu, před otevřením dalších služeb.
5 varovných signálů nebezpečné sítě
Ne každou hrozbu poznáte na první pohled, ale těchto pět signálů by vás mělo zastavit dřív, než se připojíte nebo než na připojené síti zadáte cokoliv citlivého.
1. Síť nevyžaduje žádné heslo ani přihlašovací stránku
Kompletně otevřená síť bez jakéhokoli ověření je nejsnazší k odposlechu. Legitimní hotely a letiště dnes většinou používají alespoň captive portal s heslem na účtence.
2. V seznamu sítí vidíte dva téměř identické názvy
„Hotel_Guest" a „Hotel_Guest_5G" nebo „Cafe_WiFi" a „Cafe-WiFi_Free" ve stejném prostoru je klasický signál Evil Twin útoku. Legitimní síť s podobným duplicitním názvem obvykle nemá důvod existovat.
3. Prohlížeč hlásí problém s certifikátem HTTPS
Pokud se objeví varování, že spojení není zabezpečené, nebo že certifikát webu neodpovídá, na téhle síti přerušte cokoliv, co jste zrovna dělali. Na legitimní síti se to běžně nestává.
4. Po připojení vás síť přesměruje na stránku, která chce přihlašovací údaje k Google, Facebooku nebo bankovnictví
Legitimní captive portal chce jméno a pokojové číslo v hotelu, maximálně e-mail. Nikdy nechce heslo k vašemu bankovnímu účtu nebo e-mailové schránce.
5. Zařízení se připojilo samo, aniž jste to čekali
Pokud máte v telefonu uloženou historii sítí a najednou vidíte, že jste online, aniž jste síť vybrali, telefon se pravděpodobně připojil k uložené síti se stejným jménem, jaké má aktuální falešný hotspot.
Jednoduché pravidlo: Pokud narazíte na jeden z těchto signálů, přepněte na mobilní data a k dané síti se nepřipojujte vůbec.
Kdy je VPN nutnost, ne luxus
VPN zašifruje provoz mezi vaším zařízením a internetem ještě před tím, než opustí telefon nebo notebook. Na otevřené síti to znamená, že i kdyby někdo odposlouchával celý provoz v síti, viděl by jen nečitelná data.
VPN přestává být volitelný doplněk ve chvíli, kdy na veřejné síti otevíráte cokoliv, co obsahuje přihlašovací údaje, platební informace nebo firemní data: internetové bankovnictví, e-mail s pracovní poštou, e-shop s uloženou kartou. Pro běžné prohlížení zpráv nebo mapy riziko není tak vysoké, ale jakmile se blížíte k platbě nebo přihlášení, zapnutá VPN je rozdíl mezi zašifrovaným provozem a otevřenými dveřmi.
Podrobný přehled, jak přesně VPN funguje a na co si dát pozor při výběru, najdete v článku Co je VPN a jak funguje. Konkrétní srovnání sítí, které vyzkoušet přímo na dovolenou, včetně toho, kdy dává větší smysl eSIM než VPN, popisujeme v článku o bezpečném připojení na cestách.
Praktický checklist před připojením
Než se na dovolené k jakékoli veřejné síti připojíte, projděte si tyhle čtyři body. Zabere to pár minut, ideálně už doma před odjezdem.
Zapněte dvoufaktorové ověření (2FA)
I kdyby útočník získal vaše heslo z otevřené sítě, bez druhého faktoru se do účtu nedostane. Jak 2FA funguje a jak ho nastavit, najdete v článku Co je 2FA.
Kontrolujte HTTPS u každé stránky, kam zadáváte údaje
Zámek vedle adresy v prohlížeči neznamená stoprocentní bezpečí, ale jeho absence je jasný signál, že cokoliv napíšete, jde v otevřeném textu.
Aktualizujte telefon a notebook ještě před odjezdem
Aktualizace často opravují bezpečnostní díry, které útočníci na veřejných sítích aktivně zkoušejí. Zařízení se zastaralým systémem je snazší cíl.
Používejte správce hesel místo zapamatovaných nebo uložených v prohlížeči
Pokud máte na každém účtu jiné dlouhé heslo generované správcem, únik jednoho hesla neohrozí zbytek účtů. Přehled, jak správce hesel vybrat, najdete v článku Jak vybrat správce hesel.
Z nástrojů, které tenhle checklist podporují, dává smysl mít nastavené ještě před odjezdem:
NordPass
Ukládá hesla i platební karty v šifrovaném trezoru a automaticky je vyplňuje jen na správných doménách, což samo o sobě chrání proti falešným přihlašovacím stránkám na Evil Twin sítích.
Vyzkoušet NordPass →Surfshark VPN
Šifruje provoz na neomezeném počtu zařízení v rámci jednoho tarifu, což se hodí, pokud na dovolené chráníte telefon, tablet i notebook současně.
Vyzkoušet Surfshark VPN →Co dělat, pokud máte podezření, že už jste byli napadeni
Pokud jste na veřejné Wi-Fi zadali heslo nebo číslo karty a něco vám na chování sítě nesedělo, nečekejte na návrat domů.
Změňte heslo z jiné, důvěryhodné sítě
Ideálně z mobilních dat, ne z té stejné veřejné Wi-Fi. Pokud používáte stejné heslo na více místech, změňte ho všude, kde se opakuje.
Zkontrolujte výpisy z karty přes bankovní aplikaci
Menší testovací transakce v řádu desítek korun bývají první signál, že útočník kartu ověřuje, než ji použije na větší nákup.
Zablokujte kartu přes aplikaci nebo linku banky
Pokud vidíte transakci, kterou neznáte. Většina bank umí kartu dočasně zamknout přímo v appce bez nutnosti volat.
Odhlaste všechna aktivní zařízení v nastavení účtu
Hlavně u e-mailu a bankovnictví. Tím zneplatníte i případný ukradený session token, se kterým by se útočník mohl přihlásit bez hesla.
Nahlaste podezřelou aktivitu Policii ČR
Přehled, jak postupovat u podvodů typu phishing nebo krádeže platebních údajů, popisuje Policie ČR.
Rychlost hraje roli. Čím dřív heslo změníte a kartu zablokujete, tím kratší okno má útočník na to, aby ukradená data reálně použil.
Časté dotazy
Je hotelová Wi-Fi s heslem bezpečná?
Heslo omezuje přístup do sítě, samo ale nezaručuje důvěryhodnost sítě ani oddělení hostů. Používejte HTTPS, nepřeskakujte varování certifikátu a pro citlivé úkony dejte přednost mobilním datům.
Poznáte falešnou Evil Twin síť?
Samotný název a síla signálu nestačí. Ověřte síť u personálu, vypněte automatické připojování a při podezření přejděte na mobilní data. Ani VPN neudělá podvodnou přihlašovací stránku bezpečnou.
Stačí HTTPS?
HTTPS chrání obsah přenosu až k webu, ale zámek nepotvrzuje poctivost jeho provozovatele. Kontrolujte skutečnou doménu. VPN přidává šifrování provozu mezi zařízením a VPN serverem.
Je eSIM lepší než VPN?
eSIM vám poskytne vlastní mobilní připojení nezávislé na hotelové síti. VPN šifruje provoz přes síť, kterou používáte. Jde o dvě různá řešení. Mimo EU ověřte mobilní datový tarif ještě doma.
Co když zapomenu zapnout VPN?
Ještě před cestou vyzkoušejte automatické připojení a kill switch. Dostupnost těchto funkcí záleží na poskytovateli a operačním systému. Citlivé přihlášení můžete místo veřejné Wi-Fi provést přes mobilní data.
Jak dlouho sledovat kartu po podezřelém připojení?
Výpisy kontrolujte průběžně, nejméně další dva až tři týdny. Při podezření na vyzrazení karty kontaktujte banku hned, nečekejte na první neznámou platbu.
Než vyrazíte
Ověřte název sítě, vypněte automatické připojování, zapněte 2FA a aktualizujte zařízení. Pro platby a citlivé účty použijte raději mobilní data. S výběrem konkrétního nástroje vám pomůže srovnání VPN na cesty.
Přečtěte si také
Odkazy na NordPass a Surfshark jsou affiliate. Pokud přes ně nakoupíte, dostanu provizi. Cena se pro vás nemění.