O WiFi de hotel é seguro? O que todo viajante precisa saber

O WiFi de hotel é seguro? O que todo viajante precisa saber. Um boletim informativo da Purple WiFi. Bem-vindo ao boletim informativo da Purple WiFi. Hoje, estamos abordando uma questão que chega à caixa de entrada de quase todo gerente de TI que cuida de uma rede hoteleira ou orienta viajantes corporativos: o WiFi de hotel é realmente seguro? A resposta curta é: depende — e essa dependência se deve quase inteiramente a como a rede foi arquitetada, configurada e mantida. A resposta longa é o que estamos aqui para discutir. Nos próximos dez minutos, passaremos pelos vetores de ameaça reais, pelas decisões de arquitetura que separam uma implantação segura de uma vulnerabilidade e pelas etapas práticas que as equipes de TI dos hotéis e seus hóspedes podem adotar agora mesmo. Seja você um arquiteto de rede avaliando sua infraestrutura atual, um CTO definindo políticas para viagens de negócios ou um diretor de operações de estabelecimentos que acabou de assumir a responsabilidade pelo WiFi — este boletim é para você. Vamos começar. Então, como o WiFi de hotel realmente funciona? A maioria das implantações hoteleiras segue um padrão bastante comum. Você tem um roteador principal conectado ao link WAN do provedor de internet. Atrás dele, fica um controlador — local ou gerenciado na nuvem — que envia a configuração para uma frota de pontos de acesso distribuídos pela propriedade. Os hóspedes se conectam a um SSID específico, são redirecionados para um Captive Portal para autenticação e, em seguida, entram em uma VLAN de hóspedes compartilhada que roteia para a internet. Essa arquitetura, isoladamente, não é inerentemente perigosa. O perigo vem das brechas — e existem várias. O primeiro e mais significativo é o problema do ponto de acesso invasor, frequentemente chamado de ataque Evil Twin. Um invasor configura um ponto de acesso portátil no lobby do hotel, dá a ele um nome convincentemente próximo ao da rede legítima — por exemplo, "HotelGuest Free" em vez de "HotelGuest" — e espera. Os dispositivos modernos geralmente se conectam automaticamente ao sinal mais forte. Assim que um hóspede se conecta ao AP invasor, cada pacote transmitido passa pelo hardware do invasor. Sem criptografia de ponta a ponta na camada de aplicação, credenciais, tokens de sessão e dados confidenciais ficam expostos. O segundo grande risco é a interceptação do tipo man-in-the-middle na própria rede legítima. Isso é mais comum do que a maioria dos operadores de hotéis imagina e é viabilizado por uma configuração incorreta específica: a ausência de isolamento de cliente. Quando o isolamento de cliente está desativado, os dispositivos na mesma VLAN podem se comunicar diretamente entre si. Um invasor usando envenenamento de ARP pode se posicionar entre o dispositivo de um hóspede e o gateway padrão, interceptando todo o tráfego em ambas as direções. A solução é simples — habilitar o isolamento de cliente no AP —, mas é surpreendente a quantidade de implantações que ignoram essa etapa. Terceiro, temos o problema do protocolo de criptografia. O WEP está praticamente morto, mas o WPA2 com uma chave pré-compartilhada (PSK) ainda é a implantação dominante no setor de hotelaria. O problema com uma PSK compartilhada é que qualquer hóspede que saiba a senha pode, com as ferramentas certas, descriptografar o tráfego de todos os outros hóspedes nessa rede. O WPA3, especificamente o handshake Simultaneous Authentication of Equals — ou SAE —, elimina isso gerando uma chave de sessão exclusiva para cada cliente, mesmo quando todos estão usando a mesma senha. A adoção do WPA3 na hotelaria está acelerando, mas está longe de ser universal. Quarto, há a questão da segmentação de rede. Uma rede de hotel bem arquitetada executa no mínimo três VLANs separadas: uma para hóspedes, uma para funcionários e sistemas operacionais, e uma para a infraestrutura de cartões de pagamento que se enquadra no escopo do PCI DSS. A VLAN de hóspedes não deve ter nenhuma rota para as VLANs de funcionários ou PCI. Na prática, ainda encontramos redes planas — especialmente em propriedades independentes menores — onde o dispositivo de um hóspede e um terminal de ponto de venda compartilham o mesmo domínio de transmissão. Isso representa um risco significativo de conformidade e segurança. Quinto, e isso é cada vez mais relevante à medida que os hotéis modernizam sua infraestrutura, há a superfície de ataque de IoT. Smart TVs, tablets no quarto, termostatos conectados e fechaduras de portas baseadas em IP são todos pontos de entrada potenciais. Se esses dispositivos estiverem no mesmo segmento de rede que os dispositivos dos hóspedes ou, pior, no mesmo segmento que os sistemas operacionais, um dispositivo IoT comprometido se torna um ponto de articulação para a rede mais ampla. Agora, do ponto de vista do hóspede — o viajante de negócios que pergunta "o WiFi do hotel é seguro o suficiente para o meu trabalho?" — o cálculo é um pouco diferente. Mesmo em uma rede de hotel bem configurada, a postura responsável é tratá-la como não confiável. Isso significa usar uma VPN corporativa para todo o tráfego de trabalho, garantir que todos os aplicativos confidenciais exijam TLS 1.2 ou superior e ter cuidado ao se conectar automaticamente a SSIDs que correspondam a redes visitadas anteriormente. Para a equipe de TI que gerencia a rede do hotel, a questão é como passar de uma postura reativa para uma postura proativa. É aí que entram as recomendações de implementação. Deixe-me apresentar as cinco coisas que terão o maior impacto na segurança do WiFi do hotel, por ordem de prioridade. Um: Implante o WPA3-SAE no seu SSID de hóspedes. Se o hardware do seu ponto de acesso for compatível — e a maioria dos equipamentos fabricados após 2020 é —, não há um bom motivo para não fazê-lo. Ative o modo de transição WPA3 e WPA2 para manter a compatibilidade com dispositivos mais antigos enquanto você migra. Dois: Ative o isolamento de cliente AP em cada SSID de hóspedes. Essa é uma única caixa de seleção na maioria dos controladores sem fio corporativos. Isso impede a comunicação de dispositivo para dispositivo na mesma VLAN e elimina totalmente o vetor de ataque de envenenamento de ARP. Três: Implemente uma segmentação de VLAN adequada. As redes de convidados, funcionários e PCI devem ser isoladas lógica e fisicamente. Use regras de firewall na camada de roteamento inter-VLAN para impor isso. Audite sua segmentação trimestralmente — as alterações de rede costumam colapsar inadvertidamente os limites das VLANs. Quatro: Implante uma capacidade de detecção de AP invasor (rogue AP). A maioria dos controladores sem fio corporativos inclui a detecção de AP invasor como um recurso padrão. Ative-o, configure os alertas e certifique-se de que alguém esteja realmente revisando esses alertas. Um AP invasor que passa despercebido por uma semana é uma responsabilidade significativa. Cinco: Implemente uma plataforma de gerenciamento de guest WiFi adequada que ofereça visibilidade sobre quem está se conectando, quando e de qual dispositivo. Isso não é apenas uma medida de segurança — é também o seu mecanismo para captura de dados em conformidade com a GDPR, gerenciamento de consentimento e o tipo de análise que gera valor comercial real a partir do seu investimento em guest WiFi. O erro comum que vejo com mais frequência? Tratar o WiFi como um serviço público utilitário em vez de um ativo de infraestrutura. Hotéis que implantam um roteador de nível doméstico, definem uma senha simples e consideram o trabalho concluído são os que acabam em notificações de violação de dados. O investimento necessário para fazer isso corretamente é modesto em relação ao risco. Agora, deixe-me responder a algumas das perguntas que recebemos com mais frequência. O WiFi gratuito de hotel é seguro para transações bancárias? Não — não sem uma VPN. Trate qualquer rede pública como hostil para transações financeiras. Um hotel pode ver o que estou navegando? Sim, no nível da rede. O resolvedor de DNS e os logs de tráfego do hotel mostrarão os domínios visitados. O HTTPS criptografa o conteúdo, mas não os nomes de host de destino na maioria das configurações. O WiFi de hotel é mais seguro do que o de uma cafeteria? Marginalmente, em uma propriedade bem gerenciada. Uma marca de hotel de renome tem mais incentivos para manter a segurança da rede do que um café independente. Mas os riscos subjacentes são semelhantes. O uso de HTTPS me protege no WiFi do hotel? Em grande parte sim, para dados da camada de aplicação. Mas não protege contra interceptação de DNS, sequestro de sessão por meio de APs invasores ou vazamento de metadados. Uma VPN continua sendo o padrão ouro. Qual é a maior melhoria individual que um hotel pode fazer hoje? Ativar o isolamento de clientes. É gratuito, leva cinco minutos e elimina um dos vetores de ataque mais comuns. Para resumir: o WiFi de hotel não é inerentemente inseguro, mas a configuração padrão da maioria das redes hoteleiras deixa lacunas de segurança significativas que são exploráveis por um invasor com habilidades moderadas. Para as equipes de TI de hotéis, as prioridades são a implantação de WPA3, isolamento de clientes, segmentação de VLAN, detecção de AP invasor e uma plataforma gerenciada de guest WiFi que ofereça visibilidade e cobertura de conformidade. Para viajantes a negócios, a regra é simples: trate o WiFi do hotel como não confiável, use uma VPN para o tráfego de trabalho e verifique o SSID com a equipe do hotel antes de se conectar. Se você está avaliando sua infraestrutura atual de WiFi para hotéis ou buscando implantar uma solução gerenciada de guest WiFi que atenda a esses requisitos de segurança e, ao mesmo tempo, entregue valor comercial por meio de analytics e automação de marketing, vale a pena conhecer de perto a plataforma da Purple. O link está nas notas do episódio. Obrigado por ouvir. Até a próxima.