zagrożenia publicznych sieci Wi-Fi

Zagrożenia publicznych sieci Wi-Fi to ryzyka korzystania z otwartych hotspotów w kawiarniach, hotelach, na lotniskach i konferencjach: podszycie się pod znaną sieć, podsuwanie fałszywych stron logowania i podsłuch nieszyfrowanego ruchu. Serwis gov.pl ostrzega, że po podłączeniu do publicznej sieci bezprzewodowej przesyłane treści mogą być widoczne dla innych ^[1]. CERT Polska dodaje, że protokół HTTPS szyfruje dane między urządzeniem a stroną niezależnie od rodzaju sieci ^[2]. Przy poprawnym HTTPS napastnik widzi więc głównie metadane, a nie treść.

Jak działa

W sieci „otwartej”, bez hasła, każdy klient odbiera transmisję pozostałych, więc możliwe jest podglądanie tego, co robią inni ^[3]. Hasło podane na kartce przy kasie niewiele zmienia. RFC 8110 zauważa, że skoro wspólny klucz sieci zna każdy, pasywny napastnik może zaobserwować uzgadnianie połączenia i obliczyć klucze szyfrujące ruch klienta ^[5].

Groźniejszy jest napastnik aktywny, który sam udaje punkt dostępowy. Klient łączy się z podstawioną siecią, a cały ruch przechodzi przez urządzenie napastnika. Taki atak to evil twin (podstawiona sieć Wi-Fi), odmiana man-in-the-middle (MITM). Przebieg pokazuje schemat poniżej.

RYS. 1Podstawiony hotspot

RFC 6797 opisuje oba typy napastników: pasywny podsłuchuje nieszyfrowane połączenia HTTP w pobliskiej sieci bezprzewodowej i może przechwycić ciasteczka uwierzytelniające, a aktywny podszywa się pod serwery DNS, fałszuje ramki albo tworzy fałszywe punkty dostępowe ^[6]. Jako przykład narzędzia do przejmowania sesji w ten sposób dokument podaje Firesheep ^[6]. Ten sam dokument zwraca uwagę, że przeglądarki pozwalają łatwo zignorować błąd certyfikatu, co daje aktywnemu napastnikowi okazję ^[6].

Odmiany

Szyfrowanie samej sieci też nie rozwiązuje problemu. Opportunistic Wireless Encryption z RFC 8110 szyfruje otwarte sieci, ale nie zapewnia uwierzytelnienia i jest podatne na aktywny atak, w którym napastnik podszywa się pod punkt dostępowy ^[5].

W WordPressie

Administrator logujący się do panelu z hotelu albo kawiarni przesyła przez obcą sieć hasło i ciasteczka sesji. Jeśli którekolwiek żądanie idzie przez HTTP, napastnik może przechwycić token sesyjny i działać w panelu jako administrator.

Dokumentacja WordPressa opisuje stałą FORCE_SSL_ADMIN, która w pliku wp-config.php wymusza, by wszystkie logowania i sesje panelu odbywały się przez szyfrowane połączenie ^[7]. Według dokumentacji utrudnia to kradzież ciasteczek i nagłówków uwierzytelniających oraz podszycie się pod administratora w wp-admin ^[7].

define( 'FORCE_SSL_ADMIN', true );

Drugą warstwą jest HSTS (HTTP Strict Transport Security). RFC 6797 definiuje go jako mechanizm, którym witryna deklaruje, że jest dostępna wyłącznie przez bezpieczne połączenia ^[6]. Ma jednak lukę pierwszego kontaktu: użytkownik, który wpisze adres z http do witryny jeszcze nieznanej przeglądarce jako host HSTS, jest narażony na atak ^[6]. RFC zaleca ograniczać ją wstępnie wczytaną listą hostów w przeglądarce ^[6]. Pozostałości ruchu HTTP na stronie opisuje hasło mixed content.

Zagrożenia i skutki

Najczęstsze skutki to przechwycenie danych uwierzytelniających przez fałszywą stronę logowania, przejęcie konta przez skradzione ciasteczko oraz zainstalowanie złośliwej aplikacji podsuniętej jako „wymagana do połączenia”. Przy poprawnie skonfigurowanym HTTPS CERT Polska wskazuje, że nawet po połączeniu z fałszywym hotspotem protokół nadal chroni przesyłane dane ^[2]. W kampanii opisanej przez Sekurak w 2026 roku napastnicy podsuwali użytkownikom także fałszywe aplikacje mobilne w plikach APK ^[4]. Ryzyko przesuwa się wtedy z podsłuchu na socjotechnikę: podsuwanie stron i aplikacji, którym użytkownik sam zaufa.

Jak się bronić

Serwis gov.pl zaleca, by nie korzystać z publicznych sieci do bankowości, poczty i serwisów społecznościowych; zamiast nich lepiej użyć własnego modemu komórkowego albo połączyć się przez VPN ^[1]. Radzi też wyłączać Wi-Fi i Bluetooth, gdy nie są używane, bo niektóre sklepy i punkty usługowe wykorzystują je do śledzenia lokalizacji ^[1]. CERT Polska zauważa, że przy HTTPS i WPA3 VPN nie jest jedynym ratunkiem dla podstawowego bezpieczeństwa ^[2].

• Tylko HTTPS. Zwracać uwagę na ostrzeżenia przeglądarki o certyfikacie i nie klikać „kontynuuj mimo to”.
• Własny hotspot lub VPN przy pracy na panelach administracyjnych, zwłaszcza w podróży ^[4].
• Bez logowania na stronie hotspotu do kont firmowych i bez instalowania aplikacji, których wymaga sieć.
• Uwierzytelnianie dwuskładnikowe (2FA) na kontach administracyjnych ogranicza skutki przechwycenia hasła.

Historia i przykłady

Już w 2013 roku Niebezpiecznik ostrzegał, że korzystanie z sieci otwartych i sieci chronionych kluczem WEP naraża na podsłuch ^[3]. W sierpniu 2026 roku Sekurak opisał, na podstawie wpisu Microsoftu, kampanię grupy Midnight Blizzard wymierzoną w podróżujących pracowników firm ^[4]. Napastnicy przejmowali słabo zabezpieczone routery w hotelach i kawiarniach, podstawiali fałszywe strony powitalne ze złośliwą CAPTCHA albo podrobionym logowaniem Microsoftu i używali złośliwej konfiguracji WPAD do przekierowania ruchu ^[4]. Rekomendacje obejmowały własne hotspoty w podróży i firmowy VPN ^[4].