酒店Wi-Fi网关DNS投毒攻击大规模活跃！商旅出行上网安全风险预警

网络安全监测平台近期发出风险预警：酒店Wi-Fi网关DNS投毒攻击正在大范围活跃。大量商旅人群入住酒店连接公共无线网络后，设备极易遭遇DNS欺骗劫持。攻击者利用存在安全漏洞的酒店网关篡改域名解析，悄无声息将用户引流至钓鱼站点，窃取账号、支付信息。

很多出差办公人员习惯在酒店Wi-Fi处理工作、登录企业后台、网银账户，低估公共无线网络的安全隐患。本文解析攻击原理、现实危害，分别给普通旅客、企业员工、酒店运维提供可行防御方案。

一、酒店Wi-FiDNS投毒攻击原理

DNS相当于互联网的地址导航，DNS投毒属于典型中间人攻击。

不少酒店使用廉价商用网关、长期不更新固件、管理后台使用弱密码，极易被黑客入侵控制。攻击者接管网关之后，篡改内网解析响应：当旅客输入正规网址，网关抢先返回伪造解析结果，把域名指向黑客搭建的仿冒站点。

该攻击隐蔽性极强，有两大特点：

1、全员无差别影响：只要接入这套酒店Wi-Fi，手机、笔记本全部存在风险，不需要用户点击陌生链接。

2、很难直观察觉：仿冒页面经常套用原版网页样式，部分虚假站点甚至套用自签名HTTPS证书，普通人难以快速分辨真伪。

除此之外，部分攻击搭配WPAD代理劫持，强制终端使用恶意代理服务器，持续监听全部上网流量。

很多用户存在误区：手动设置公共DNS就能防护。在被控制的网关环境中，普通明文DNS请求依旧能够被拦截篡改，单纯更换DNS服务器治标不治本。

二、DNS投毒带来的真实安全威胁

1、账号信息钓鱼窃取：访问邮箱、企业OA、社交平台、网上银行时跳转高仿钓鱼站，账号密码直接被黑客收集，极易引发企业信息泄露、个人财产被盗。

2、商务数据泄密：出差人员在酒店处理合同、客户资料、登录企业后台，流量被嗅探监听，商业机密存在外泄风险。

3、终端植入恶意程序：恶意站点捆绑木马、病毒，一旦设备中招，黑客可长期远程控制手机与电脑，持续窃取本地文件。

4、恶意广告与流量劫持：部分黑产利用劫持强制跳转博彩、推广页面，严重干扰正常上网体验。

需要重点提醒：攻击不区分设备系统，Windows、macOS、安卓、苹果手机均会受到影响，不存在绝对安全的终端系统。

三、旅客连接酒店Wi-Fi实用防护手段

1、启用正规加密VPN：VPN建立独立加密隧道，所有DNS查询与网络流量封装传输，酒店网关无法窥探与篡改请求，是抵御DNS投毒最可靠手段。出差办公人员优先养成习惯，连接公共Wi-Fi即开启VPN。

2、优先开启加密DNS：手机、浏览器开启严格模式DNSoverHTTPS，关闭“机会性降级”选项，避免自动退回明文DNS遭到劫持。

3、高危行为坚决避开：连接酒店公共Wi-Fi期间，尽量不进行转账、登录网银、企业核心业务系统；重要办公操作建议切换手机流量。

4、仔细核验网站证书：访问重要站点时，点击浏览器小锁图标核对证书签发主体，如果出现未知证书、证书告警，立刻停止操作，关闭页面。

5、关闭不必要网络共享：电脑关闭文件共享、网络发现功能，减少内网环境下被横向渗透的风险。

四、酒店网络运维整改建议

频繁出现此类攻击，也暴露出酒店内网建设短板，酒店运营方可以落实这些加固措施：

1、修改网关、AC管理后台默认弱口令，定期更新网关固件，修补已知安全漏洞。

2、关闭WPAD、不必要的内网调试功能，限制网关侧篡改DNS响应的权限。

3、内网部署安全监测，及时发现异常DNS响应、大量恶意跳转行为。

4、划分访客网络隔离策略，防止内网设备互相嗅探攻击。

五、企业团队安全管理建议

经常外派出差的企业，应当完善员工安全规范：

明确要求员工在外使用公共Wi-Fi处理业务时，强制开启公司统一加密通道；开展安全培训，科普DNS劫持、公共无线网络风险，避免员工随意使用酒店Wi-Fi处理涉密业务。

六、总结

大规模爆发的酒店Wi-FiDNS投毒攻击再次敲响警钟：所有公共无加密Wi-Fi都属于不可信网络。DNS劫持攻击不需要复杂操作，依托有漏洞的网关就能批量影响大量旅客。

对于商旅人士而言，不要抱有侥幸心理，区分娱乐上网和敏感办公场景。重要账号登录、企业业务操作，尽量使用手机流量或者搭配加密VPN。酒店方也应当重视网络设备安全维护，及时加固网关设备，减少安全漏洞，避免住客遭遇网络欺诈风险。网络安全无小事，做好基础防护，避免个人信息与商业数据蒙受损失。