Банкінг через публічний Wi-Fi: реальні ризики без міфів

Класичне попередження «ніколи не перевіряй банк через публічний Wi-Fi» писали для вебу 2010 року, коли багато сайтів ще працювали через звичайний HTTP, а ноутбук із безплатною програмою-сніфером міг виловлювати логіни просто з повітря. Того вебу більше немає. Сьогодні практично кожен банк, платіжний сервіс і серйозний сайт шифрує всю сесію через TLS, а браузери голосно попереджають, перш ніж щось піде незашифрованою сторінкою.

Банківські застосунки йдуть далі: більшість закріплює сертифікати своїх серверів (certificate pinning), тож застосунок відмовляється говорити з будь-ким, хто не доведе, що він справжній банк, — навіть якщо мережа перехоплює з’єднання. Пасивний атакувальник у тому самому готельному Wi-Fi дізнається лише, що твій пристрій обмінявся зашифрованим трафіком із банком, — і більше нічого. Правило 2010 року тихо перетворилося на напівміф.

Сказати це чесно важливо, бо застарілий страх цілить твою обережність не туди. Ризики, які вижили в публічних мережах, реальні, але працюють через обман і людську помилку, а не через прослуховування дротів — і потребують інших захистів, ніж радить фольклор десятилітньої давності, починаючи з твоєї власної поведінки.

Назва мережі — це не особа. Будь-хто може транслювати точку доступу з назвою Hotel Guest чи Airport Free Wi-Fi, і телефони радо приєднуються до найсильнішого сигналу зі знайомим іменем. Такий «злий двійник» не ламає TLS, але віддає атакувальнику саму мережу — фундамент для кожного наступного трюку, від фальшивих порталів до переписаних відповідей DNS.

Ворожий роутер контролює DNS, тож набрана адреса банку може тихо привести на переконливу фішингову копію. Попередження браузера про сертифікат — остання лінія оборони: фальшивий сайт не може пред’явити дійсний сертифікат для справжнього домену банку, тому ніколи не проходь повз помилку сертифіката, хоч би яким правдоподібним був привід на екрані. Нечисленні вцілілі HTTP-сайти не заслуговують жодної довіри для будь-чого з логіном чи номером картки.

Найбільша загроза — аналогова. Незнайомець у лобі чи залі вильотів, який дивиться, як ти набираєш код розблокування телефона чи банківський PIN, отримує більше за будь-який сніфер: підглянутий код плюс украдений телефон відкривають весь твій грошовий стек. Ризикована дія — це введення кодів на людях, а не сам Wi-Fi.

Для всього, що торкається грошей, ранжуй варіанти: власний мобільний інтернет через локальну eSIM чи роумінг — перший, персональна точка доступу з власного телефона — друга, приватна Wi-Fi-мережа, якій справді довіряєш, — третя, і публічний Wi-Fi із запобіжниками — останній. Кожен крок нижче драбиною додає між тобою і банком сторони, яких ти не можеш перевірити.

Мобільні дані — не магія, але вони видаляють цілий клас атак ворожого роутера: немає злого двійника, до якого приєднатися, немає підробленого DNS, немає captive-порталу, немає чужинців у твоєму сегменті мережі. А мобільний інтернет у більшості напрямків став достатньо дешевим, щоб пускати кожну банківську сесію через власну eSIM було дрібною звичкою, а не жертвою.

Практичне правило коротке: гроші — через стільникову мережу, серфінг — через Wi-Fi. Коли банкінг завжди їде на власній SIM, питання, чи безпечна саме ця готельна мережа, просто перестає потребувати відповіді — і це цінніше за будь-який список мережевих запобіжників, який ти міг би завчити.

VPN шифрує все між твоїм пристроєм і сервером VPN, тож зловмисний роутер бачить лише непрозорий тунель: жодних ігор із DNS, жодних підставлених сторінок, жодного підглядання за слабшими застосунками. Проти ворожої локальної мережі це справжня, повна відповідь, і вмикати його в публічному Wi-Fi — цілком розумна звичка.

Не менш важливо, чого VPN не робить. Він не завадить тобі ввести пароль на фішинговому сайті, куди ти прийшов із повідомлення. Він не прибере шкідливе ПЗ і не сховає екран від людини позаду. І він додає власний режим відмови: банки оцінюють входи за локацією, і сервер виходу в іншій країні може виглядати як захоплення акаунта — одні банки посилять перевірку, інші заблокують сесію одразу.

Чесний вердикт: на мобільних даних із банківським застосунком, що закріплює сертифікати, VPN додає мало. У публічному Wi-Fi це міцний додатковий шар — в ідеалі з сервером виходу в домашній країні банку, щоб географія твоїх входів лишалася нудною і знайомою для ризик-системи.

Більшість успішних атак на мандрівників закінчується на пристрої чи людині, а не в мережі. Свіжа ОС і браузер закривають діри, які потрібні реальним Wi-Fi-експлойтам, тому оновлення всього перед поїздкою важить більше, ніж будь-який роутер, що трапиться тобі за весь маршрут, — це найдешевший захист із доступних.

Вимкни автопідключення до відкритих мереж, щоб телефон не приєднувався мовчки до будь-якої точки з назвою, яку колись бачив, — саме так злі двійники збирають жертв. Забувай мережі готелів і кав’ярень після виїзду. У дорозі віддавай перевагу застосунку банку, а не банкінгу в браузері: застосунок закріплює сертифікати й відкриває ворожій сторінці менше, ніж браузерна сесія.

Користуйся менеджером паролів і дозволь йому робити антифішингову роботу: він заповнює облікові дані лише на точному домені, для якого їх зберіг, тож піксельно точна підробка сторінки банку не отримує нічого. У публічних місцях сідай спиною до стіни для грошових справ і прикривай екран щоразу, коли вводиш PIN чи код розблокування.

Captive-портали — сторінка, що вискакує з проханням увійти, перш ніж мережа запрацює, — це нормально, і в готелях номер кімнати плюс прізвище — звичний запит із низьким ризиком. Підозри заслуговує будь-який портал, який хоче дані картки «для активації безплатного доступу» або бере за нього крихітну плату. Ти не маєш способу дізнатися, хто насправді отримає цей номер картки.

Новіший варіант — підміна QR-коду: наліпка в лобі чи кав’ярні замінює справжній Wi-Fi-код закладу на код, що веде на портал атакувальника, який далі просить дані картки чи облікові дані. Перевір у персоналу, перш ніж платити за доступ, а якщо мережа справді вимагає оплату, краще заплати через мобільний інтернет телефона на справжньому сайті закладу.

Якщо мусиш скористатися платним порталом, стався до нього як до невідомого онлайн-магазину: віртуальна чи одноразова картка з низьким лімітом, ніколи не основна. Ще краще — пропусти цю мережу взагалі: день даних на eSIM зазвичай коштує приблизно стільки ж, скільки платний готельний Wi-Fi.

Карткове шахрайство зазвичай можна відкотити; підписану криптотранзакцію — ні. Ця асиметрія означає, що входи на біржі, розблокування гаманців і виведення належать до найсуворішого рівня: власний мобільний інтернет, власний пристрій і 2FA із застосунку-автентифікатора, а не з SMS, — налаштування, у якому ворожій мережі нічого атакувати.

Два крипто-специфічні ризики подорожують із тобою. Шкідливе ПЗ підміни буфера стежить за скопійованими адресами гаманців і замінює їх адресою атакувальника — тому звіряй перші й останні символи після вставлення, щоразу без винятків. І ніколи не торкайся біржі чи гаманця з комп’ютера бізнес-центру готелю чи будь-якої спільної машини: ти не знаєш, які кейлогери там живуть, і жоден мережевий запобіжник не компенсує скомпрометовану клавіатуру.

Якщо везеш апаратний гаманець, мережа для підписання майже не важить — приватний ключ не покидає пристрій, — але екран перевірки адреси стає твоїм інструментом проти підміни. Підтверджуй адресу призначення на дисплеї пристрою, а не на екрані комп’ютера, до якого він випадково підключений.

Тобі не потрібне одне параноїдальне правило для всього — потрібна пропорційність. Перевірка балансу — низькоризикова дія лише для читання; переказ заощаджень чи вхід на біржу з нового пристрою — ні. Таблиця нижче зіставляє типові задачі з мінімально прийнятним з’єднанням і одним додатковим запобіжником, який справді вартий уваги.

Передпоїздкова послідовність займає близько п’ятнадцяти хвилин і робить усю цю тему нудною — а це і є мета. Коли тарифний план, оновлення і 2FA на місці, готельний Wi-Fi стає тим, чим має бути: способом дивитися серіали й гуглити ввечері, а не фактором твоєї фінансової безпеки.