Proč jsou veřejné Wi-Fi sítě rizikové
Veřejná Wi-Fi je sdílená infrastruktura, ke které se připojuje desítky až stovky lidí denně. Právě to z ní dělá atraktivní cíl pro útočníky, kteří mohou odposlouchávat komunikaci, zachytávat přihlašovací údaje nebo vytvářet podvodné hotspoty s názvem podobným legitimní síti. Podle bezpečnostních firem patří veřejné sítě mezi nejčastější vstupní bod pro útoky typu man-in-the-middle, tedy situace, kdy se útočník vloží mezi uživatele a internetovou službu.
Hlavní problém není jen samotná síť, ale i to, že uživatelé na ní často pracují s citlivými daty: přihlašují se do e-mailu, bankovnictví, firemních systémů nebo administrací webů. Pokud je přenos nešifrovaný nebo slabě chráněný, může být zneužit během několika minut. Stačí otevřený notebook v kavárně a jeden nepozorný klik na falešnou výzvu k přihlášení.
Nejčastější hrozby: odposlech, falešné hotspoty a krádež účtů
V praxi se útoky na veřejných Wi-Fi objevují v několika podobách. Nejčastější je odposlech provozu v nezabezpečené síti, zejména pokud aplikace nebo web nepoužívají správně HTTPS. I když dnes většina webů šifrování podporuje, stále existují scénáře, kdy útočník získá metadata, přesměruje uživatele nebo podstrčí škodlivý obsah.
- Rogue hotspot – falešná Wi-Fi síť s názvem typu „Airport_Free_WiFi“ nebo „Cafe_Guest“, která vypadá důvěryhodně.
- Packet sniffing – zachytávání síťového provozu a pokus o získání dat z nešifrovaných spojení.
- Session hijacking – převzetí aktivního přihlášení, pokud web nezabezpečí relaci správně.
- Captive portal phishing – falešná přihlašovací stránka, která kopíruje legitimní hotelový nebo letištní login.
- Malware injection – podstrčení škodlivého obsahu přes kompromitovaný router nebo nechráněný provoz.
Realistický scénář vypadá jednoduše: uživatel se připojí na veřejnou síť, otevře přihlašovací stránku, zadá e-mail a heslo a nevšimne si, že stránka není ta skutečná. Nebo pracuje s firemním účtem bez VPN a útočník získá aspoň část provozu, která mu pomůže s dalšími kroky. V obou případech rozhoduje rychlost reakce a kvalita zabezpečení.
Jak VPN funguje a proč je na veřejné síti zásadní
VPN, tedy virtuální privátní síť, vytváří mezi zařízením a VPN serverem šifrovaný tunel. Provoz tak není čitelný pro ostatní uživatele stejné Wi-Fi ani pro provozovatele sítě. To je klíčové zejména v situacích, kdy člověk pracuje s hesly, interními dokumenty, administrací webu nebo finančními službami.
VPN neřeší všechno, ale výrazně snižuje riziko odposlechu a manipulace s daty. Důležité je vybírat službu, která používá moderní protokoly jako WireGuard nebo OpenVPN, má jasnou politiku logování a nabízí kill switch. Ten při výpadku tunelu okamžitě zastaví internetové spojení, aby nedošlo k nechtěnému úniku dat mimo VPN.
Při výběru se vyplatí sledovat i praktické parametry:
- rychlost a stabilita – důležité pro videohovory a práci v cloudu,
- počet serverů a lokalit – ovlivňuje latenci i dostupnost,
- podpora více zařízení – notebook, telefon, tablet,
- automatické zapnutí na neznámé síti – ideální pro cestování,
- ochrana proti DNS únikům – aby dotazy neodcházely mimo tunel.
V praxi je dobré mít VPN nastavenou tak, aby se aktivovala automaticky při připojení k neznámé nebo otevřené síti. Uživatel pak nemusí spoléhat na paměť ani řešit, zda ji zapnul před přihlášením do banky.
Co dělat kromě VPN: konkrétní bezpečnostní návyky
VPN je zásadní vrstva ochrany, ale sama o sobě nestačí. Odborníci na kyberbezpečnost doporučují kombinovat více opatření, která zvyšují odolnost proti běžným útokům na veřejných sítích. Základem je pracovat pouze na webech s HTTPS, neignorovat varování prohlížeče a nikdy nezadávat hesla do formulářů, které se objeví nečekaně po připojení k síti.
Praktický postup pro bezpečnější připojení:
- vypnout automatické připojování k otevřeným Wi-Fi sítím,
- zapnout dvoufaktorové ověření u e-mailu, banky i firemních účtů,
- používat správce hesel a unikátní hesla pro každý účet,
- sdílení souborů a AirDrop ponechat vypnuté mimo domov nebo kancelář,
- aktualizovat systém i aplikace, protože opravy často řeší síťové zranitelnosti.
U firemních zařízení má smysl nastavit i omezení přes MDM nebo bezpečnostní politiku. Například zakázat přístup do administrací bez VPN, povolit jen schválené sítě nebo vynutit šifrování disku. U notebooků pro správu webu je vhodné oddělit pracovní a soukromé účty, aby případný útok nezasáhl vše najednou.
Jak poznat podezřelou Wi-Fi a kdy se raději nepřipojovat
Varovným signálem je síť s nejasným názvem, chybějící informací o provozovateli nebo požadavkem na neobvykle široké oprávnění. Podezřelé jsou také sítě, které se po krátkém výpadku objeví znovu pod podobným názvem, nebo captive portály, které chtějí zadat e-mail, telefon a heslo k „ověření přístupu“ bez jasného důvodu.
Na letištích, v hotelech a na konferencích je vhodné považovat veškerou otevřenou Wi-Fi za nedůvěryhodnou, dokud se neprokáže opak. Pokud zařízení upozorní na změnu certifikátu, neplatný web nebo přesměrování na neznámou adresu, je bezpečnější připojení přerušit. Stejně tak se nevyplácí řešit citlivé úkony, jako je bankovnictví, přístup do firemní administrace nebo změna hesel, bez VPN a bez dvoufaktorového ověření.
Pro běžného uživatele platí jednoduché pravidlo: veřejná Wi-Fi je vhodná na čtení zpráv nebo orientační vyhledávání, ne na práci s citlivými daty. Pro marketéry, vývojáře a správce webů je riziko ještě vyšší, protože kompromitovaný účet může znamenat přístup do reklamních systémů, CMS, analytiky nebo e-shopu. V takových případech může být škoda mnohem vyšší než cena kvalitní VPN služby.
Bezpečné nastavení pro práci na cestách i v týmu
Firmy, které mají zaměstnance na home office, v terénu nebo na cestách, by měly veřejné sítě řešit systémově. Nestačí doporučení „používejte VPN“. Potřebná je kombinace technických pravidel, školení a kontroly přístupů. U menších týmů se osvědčuje jednoduchá politika: bez VPN žádný přístup do adminu, do interního úložiště ani do firemního e-mailu z otevřené sítě.
Praktická firemní opatření mohou vypadat takto:
- povinná VPN pro všechna zařízení mimo kancelář,
- 2FA pro e-mail, cloud i CMS,
- omezení přístupu podle IP nebo zařízení,
- pravidelné školení o phishingu a falešných hotspotů,
- centrální správa aktualizací a bezpečnostních záplat,
- logování přístupů a upozornění na neobvyklé přihlášení.
Uživatelé i firmy by měli počítat s tím, že útok nemusí být vidět na první pohled. Veřejná Wi-Fi je pohodlná, ale bezpečnostně slabá výchozí volba. VPN spolu s dvoufaktorovým ověřením, aktualizacemi a opatrností při přihlašování výrazně zvyšuje šanci, že se z běžného připojení nestane bezpečnostní incident.