„Darmowy” dostęp do Wi-Fi (w zamian za Twoje dane logowania)

Powszechnie wiadomo, że nie ma nic za darmo. Jednak w praktyce niektórzy z nas zapominają o tej zasadzie i dają się łatwo zmanipulować takim słowom jak: darmowy, gratis, free itp. Dzisiaj opowiem o tym, jak poszukując dostawcy darmowego Wi-Fi, można nieopatrznie udostępnić osobom trzecim swoje prywatne dane (np. dane logowania do serwisów społecznościowych).

Istnieje wiele przykładów z życia wziętych, które tylko dowodzą temu, że nie powinieneś dać się zwieść takim ofertom. Niedawno głośno było o bezpłatnych hotspotach Wi-Fi w kawiarniach, które obsługiwała Smart Wi-Fi – rosyjska firma z siedzibą w Sankt Petersburgu. Dwójce świadomym użytkownikom udało się nagrać kilka filmów oraz umieścić je w serwisie YouTube. Pokazują w nich, w jaki sposób firma wchodzi w posiadanie danych logowania należących do niczego nieświadomych klientów kawiarni.

Szczegółowa historia została opisana na stronie Siliconrus.com (napisanym w języku rosyjskim, dlatego zachęcamy do skorzystania z translatora), jednak my pokusiliśmy się o wyjaśnienie mechanizmu działania samej technologii. Podczas podłączania do sieci Smart Wi-Fi klient proszony jest o autoryzację tożsamości za pośrednictwem swojego konta w serwisie społecznościowym. W tym konkretnym przypadku chodzi o VKontakte, który jest najbardziej popularną siecią społecznościową w Rosji.

Jednak login i hasło nie są wprowadzane na stronie vk.com, ale na stronie Smart Wi-Fi, a w dodatku są przesyłane przez połączenie nieszyfrowane, co jest najbardziej ryzykownym sposobem logowania się do stron.

„Darmowe” Wi-Fi w zamian za hasło do Twojego konta w serwisie społecznościowym

Tweet

W ten sposób użytkownicy logują się swoim profilem na VK oraz wprowadzają hasło, a dane te są następnie dostarczone do dostawcy Smart Wi-Fi oraz – nawiasem mówiąc – do każdego zainteresowanego, który posiada laptop i wie, jak wykorzystać taką „okazję”.

Chociaż firma Smart Wi-Fi wyraża swój niepokój co do zaistniałej sytuacji, ten artykuł oraz wyżej wymienione filmy dowodzą, że serwis ten nadal przechowuje dane logowania i wykorzystuje je, aby publikować posty reklamowe na profilu klienta, lub instaluje na profilu specjalną aplikację, która ma bardzo szeroki zakres uprawnień (włączając w to dostęp do większości danych osobowych oraz prawo do publikowania aktualizacji w imieniu użytkownika).

O ile w pierwszym przypadku użytkownik jest ostrzegany o zamiarze dodania reklamy na jego tablicę, to instalowanie aplikacji odbywa się bez jego zgody. Aby dowiedzieć czegoś więcej o uprawnieniach i specyfice samej aplikacji, użytkownik musi przejrzeć listę zainstalowanych aplikacji w VKontakte. A przecież chyba nie muszę dodawać, że niewielu użytkowników robi to regularnie.

Strony imitujące witryny logowania do portali społecznościowych lub kont bankowych są bardzo popularne. W rzeczywistości ten zabieg jest podstawowym narzędziem dla powszechnie używanej metody oszustwa – phishingu. Technika ta polega na tworzeniu fałszywych stron, które udają legalne, aby zachęcić użytkowników do wprowadzenia na nich danych logowania. Oczywiście są one później wykorzystywane prze cyberprzestępców – na przykład, aby otworzyć im dostęp do Twoich prywatnych danych.

W tym przypadku zaskakujące jest to, że takimi praktykami posługuje się komercyjny dostawca internetu, co budzi skrajne odczucia w branży. Szczerze mówiąc wątpimy, aby było to szkodliwe działanie dostawcy, jednak mimo wszystko użytkownicy są nadal narażeni na ryzyko utraty swoich prywatnych danych.

Podobnie jak w przypadku wszystkich tradycyjnych przypadków phishingu, jedynym skutecznym lekarstwem jest sprawdzony duet: odpowiednie środki ostrożności i czujność. Zalecamy jak zawsze, aby zwrócić szczególną uwagę na faktyczny adres URL i nigdy nie podawać swoich danych logowania na stronie, której adres budzi nasze zastrzeżenia. Należy również pamiętać, że wszystkie portale społecznościowe lub serwisy bankowości online zostały już przeniesione do bezpieczniejszego protokołu HTTPS, który szyfruje całą komunikację z serwerami. Tym samym zalecam, aby nie wprowadzać żadnych haseł na stronach, które nie mają w pasku adresu ikony kłódki.

Warto również w tym miejscu wspomnieć, że najnowsza wersja Kaspersky Internet Security wykrywa niezabezpieczone sieci Wi-Fi i ostrzega użytkownika przed podłączeniem z takimi hotspotami.