Аэропорт, три часа до вылета, телефон подхватил сеть с именем вроде Free_Airport_WiFi, причём вы её не выбирали — он сам, потому что когда-то вы подключились к чему-то похожему и он это запомнил. Открыли почту, потом банк, потом рабочий чат.
Дальше по законам жанра я должен рассказать, как у вас увели все деньги. Не буду. Обычно не происходит ничего: вы долетели, никто вас не взломал, а статья, которая пугает обратным, просто хочет что-нибудь продать. Но «обычно ничего не происходит» — плохое основание для решений, тем более когда риски дёшево устраняются. Я эти пять минут когда-то потратил и с тех пор вспоминаю про открытые сети, только когда пишу такие тексты.
Открытая сеть и небезопасная сеть — не одно и то же
Начну с того, что изменилось: половина страшилок про публичный wi-fi устарела, и повторяют их, как мне кажется, люди, которые последний раз проверяли матчасть лет десять назад.
Раньше всё было честно плохо. Трафик ходил по HTTP открытым текстом, и любой в той же сети читал его как газету через плечо соседа. Были расширения, которые в клик показывали чужие сессии в соцсетях — игрушка для скучающего студента, и я застал время, когда это работало и считалось смешным. Потом пришёл массовый HTTPS, и эпоха кончилась. Сегодня почти весь веб шифрован. Пароль от почты не перехватить: он зашифрован от вашего устройства до сервера, владелец точки видит бессмысленный поток байтов. Так безопасен ли публичный wi-fi? Скажем так: открытость сети — уже не главная проблема. Проблема в том, что вы не знаете, кто её держит, и вот это HTTPS закрыть не мог.
Ладно, дальше четыре сценария, которые работают до сих пор.
Сценарий первый: поддельная точка доступа
Evil Twin, злой двойник. Самая красивая атака в списке и, по-моему, самая недооценённая из всех.
Атакующий поднимает свою точку с именем настоящей: Coffee_Guest рядом с Coffee_Guest. Телефон видит два одинаковых SSID и выбирает тот, у которого сигнал сильнее, а сильнее он у того, кто сидит за соседним столом с коробочкой в рюкзаке. Дальше весь ваш трафик идёт через его устройство. Обиднее всего цена: поддельная точка доступа evil twin поднимается на железке размером с пачку сигарет за пару тысяч рублей, которая продаётся легально, с готовой прошивкой и инструкцией на видеохостинге. Хакерских навыков не нужно, и меня это, если честно, злит больше всего остального.
[Изображение: список доступных сетей на телефоне — два одинаковых SSID подряд, настоящий и поддельный]
Читать ваш HTTPS-трафик такой владелец не может, тут спасает шифрование. А вот перенаправить на свою страницу, подсунуть фальшивую форму входа или отдать поддельный ответ DNS — вполне. Как распознать? Честно: надёжно — почти никак, в этом и неприятность. Остаются косвенные признаки. Сеть, которая вчера требовала пароль, а сегодня открыта. Два одинаковых имени в списке. Сильный сигнал там, где обычно ловит еле-еле. Если хоть что-то из этого — не подключайтесь, включите мобильный интернет, я так и делаю.
Сценарий второй: подмена DNS
Менее эффектно, зато чаще. И чаще всего, кстати, без злого умысла: владелец сети решил что-то себе порезать.
DNS — справочная служба интернета: вы называете сайт, вам возвращают адрес. Запрос исторически ходит открытым текстом и без подтверждения подлинности, а значит, кто держит сеть, тот и отвечает. Захотел — ответил правильно. Захотел — отправил не туда. HTTPS тут сильно помогает: если вас увели на подставной сервер, браузер не получит валидный сертификат и заорёт про небезопасное соединение. Эту ругань игнорировать нельзя, и я ни разу не видел случая, когда «продолжить всё равно» в чужой сети было хорошей идеей. Частично лечится шифрованным DNS (DoH или DoT) в браузере. Полностью — туннелем, который уносит и DNS-запрос.
Сценарий третий: страница авторизации
Captive portal — та страница, что открывается сама и просит принять правила, ввести номер телефона или войти через соцсеть. Устроена она так, что обязана перехватывать трафик, иначе бы не появилась. И пользователь к этому привык: выскочило окно с формой — значит, так надо. Отличная почва для фишинга, и злоупотребляют ею потому, что выглядит она буднично.
Правила простые. Не вводите ничего, кроме номера телефона, если он правда нужен. Не входите через аккаунт соцсети — порталу это ни к чему. Не ставьте «сертификат для доступа в сеть» и никаких профилей конфигурации, потому что чужой сертификат позволяет расшифровывать ваш HTTPS, и вся защита, о которой шла речь выше, отключается движением ваших же рук. Терпеть не могу этот пункт: человек вредит себе сам и добровольно.
И не скачивайте оттуда приложения. Никакие.
Сценарий четвёртый: метаданные
Недооценённый пункт: он не про взлом. Он про то, что происходит всегда — в честной сети, при HTTPS, даже когда вы всё сделали правильно. Мне он важнее остальных трёх.
Содержимое зашифровано. Но владелец точки, и я это регулярно показываю скептикам, всё равно видит:
- какие домены вы открываете — через DNS-запросы и поле SNI в начале соединения;
- сколько данных ушло и пришло по каждому соединению;
- когда и как долго вы этим занимались;
- MAC-адрес вашего устройства и его тип.
Самая точная аналогия, какую я знаю, — старая бумажная распечатка телефонных счетов: содержания разговоров там нет ни слова, а кому вы звонили, когда и сколько минут — всё есть, и по такой бумажке о человеке узнаёшь неприлично много. Что видит владелец wi-fi сети: вы заходили на сайт клиники, потом юрфирмы, потом на сервис поиска работы. Содержимого ноль. Выводов достаточно.
[Изображение: схема «что видит владелец точки» — слева без VPN: домены, объём, время; справа с VPN: один зашифрованный поток]
Вот здесь VPN для публичного wifi и работает. Не как антивирус, не как защита от взлома, а скромнее и полезнее: он схлопывает картину в строчку — устройство подключилось к одному адресу и что-то туда передавало. Всё. Ни доменов, ни структуры, ни портрета.
Аэропорты, отели, конференции: почему там хуже
Wi-fi в отелях и аэропортах — отдельная категория, и не потому, что там злее люди. Во-первых, аудитория: командировочные с рабочей почтой и доступами в корпоративные системы, улов лучше, чем в спальном районе. Во-вторых, незнакомым сетям там не удивляются: десяток SSID в аэропорту — норма, ещё один вопросов не вызовет. Wi-fi в аэропорту безопасность имеет такую, какую обеспечивает оператор точки, а кто он, вы не узнаете. В-третьих, отельные сети собраны давно: оборудование старое, изоляция клиентов выключена, соседи видят ваше устройство напрямую. Впрочем, то же самое я встречал и в дорогих коворкингах.
Сотрудник в командировке — это уже про бизнес
Человек, подключившийся к сомнительной сети, — не только свой личный риск. Это точка входа. У него в почте переписка с контрагентами, в браузере живые сессии рабочих сервисов, на ноутбуке клиент к офису. Скомпрометировали устройство — получили не фотографии из отпуска, а вашу инфраструктуру. Лечится, к слову, не лекциями, а настройками: туннель с автовключением в любой недоверенной сети, запрет на автоподключение, блокировка сети при обрыве туннеля. Гигиена, делается один раз при выдаче техники. Как это устроено в связке с офисом — на странице про удалённый доступ, общий разбор задач компании — в корпоративном разделе.
Что реально помогает
Теперь защита в общественной сети wifi — по убыванию пользы, как я расставил её себе.
Выключить автоподключение. Первым пунктом: это главный вектор. Телефон помнит сети и цепляется к любой с таким же именем, не проверяя, та ли она. Имя Free_WiFi лежит в памяти у половины смартфонов страны, подделать его тривиально. Почистите сохранённые сети и отключите автоподключение к открытым — минута, я проверял.
Включить VPN. Закрывает метаданные, DNS и большую часть последствий подмены. Хорошо, когда клиент умеет подниматься сам в незащищённой сети — тогда вы про это не думаете. Приложения с такой настройкой есть под все платформы в разделе клиентов.
Не игнорировать предупреждения о сертификатах. Браузер ругается — закрывайте вкладку. Единственный случай, когда вам прямым текстом говорят: с соединением что-то не так.
Включить двухфакторную аутентификацию. Даже утёкший пароль без второго фактора бесполезен, а генератор кодов я советую ставить вместо SMS, потому что перехватить код из приложения заметно труднее, чем перевыпустить на себя чужую симку, и однажды эта разница кого-нибудь спасёт.
Отключить общий доступ к файлам. В Windows выбирайте профиль «Общедоступная сеть», в macOS проверьте, что общий доступ выключен.
Обновлять систему. Скучно, знаю, но большинство атак в общей сети используют дыры, закрытые полгода назад.
Чек-лист на семь пунктов
Сохраните на телефон, он короткий.
- Уточните имя сети у сотрудников. Не угадывайте по списку.
- Две сети с одинаковым именем — не подключайтесь ни к одной.
- Включите VPN до того, как откроете первое приложение.
- На странице авторизации не вводите лишнего и не ставьте сертификаты и профили.
- Предупреждение браузера о сертификате — стоп, уходим.
- Банк и переводы — с мобильного интернета. Десять секунд переключения против звонка в колл-центр.
- Ушли из кафе — забудьте сеть в настройках, чтобы телефон не искал её сам.
[Изображение: карточка-чек-лист безопасного подключения к открытой сети для сохранения на телефон]
Если убрать всю драму
Чем опасен бесплатный wi-fi на самом деле — точно не тем, что у вас украдут пароль из воздуха. HTTPS эту историю закрыл, и безопасность wi-fi в 2026 году держится в основном на нём, а не на вашей бдительности.
Реальных проблем, по-моему, три: телефон сам лезет куда попало, владелец точки видит карту ваших интересов, а поддельная точка стоит дешевле ужина в том же кафе.
Закрывается это, я считаю, двумя действиями. Отключить автоподключение — минута. Настроить туннель, который поднимается сам в незнакомой сети, — ещё четыре.
Хотите попробовать вживую — 14 дней бесплатно, без карты. Поставьте, включите автозапуск и съездите куда-нибудь: честнее теста я не придумал. Не заводится — поддержка на месте. А что туннель поднялся и DNS не течёт, видно на странице диагностики — за полминуты.
Частые вопросы
Опасен ли Wi-Fi в аэропорту?
По механике не опаснее другой открытой сети, но интереснее для атакующего: там много командировочных с рабочими доступами, и лишняя незнакомая сеть никого не смущает. Подключаться можно, если выключено автоподключение и поднят туннель. Банковские операции — лучше с мобильного интернета.
Защищает ли HTTPS в публичной сети?
Содержимое — да, и защита это серьёзная: пароли и переписку из шифрованного соединения не вытащить. Но HTTPS не скрывает, на какие домены вы ходите, сколько данных передаёте и когда. И он не спасёт, если вы сами проигнорируете предупреждение браузера или поставите чужой сертификат.
Нужен ли VPN в кафе?
Читаете новости десять минут — можно и без него. Работаете, открываете почту или сидите в рабочих сервисах — да, и дело не в паранойе, а в метаданных: без туннеля владелец сети получает подробную картину ваших занятий. Плюс закрывается подмена DNS, которая бывает чаще, чем кажется.
Что видит владелец Wi-Fi?
При HTTPS — домены, к которым вы обращались, объём данных, время и длительность соединений, MAC-адрес и тип устройства. Содержимое страниц и пароли — нет. С включённым VPN он видит одно зашифрованное соединение к одному адресу.
