连了三年商场免费WiFi，我才搞懂公共WiFi风险到底藏在哪

新街口那家咖啡店，我常去。上周三下午，等朋友。手机弹出一个WiFi，名字叫“Cafe_Free_WiFi”。我手一滑，连上了。然后，微信里朋友问我：你刚发的链接是啥？我根本没发。后背一凉。

后来查了查，倒不是那次一定被黑了。但这件事让我把公共WiFi风险翻了个底朝天。说实话，以前我也觉得，连个WiFi能有多大事？又没输银行卡密码。对吧。

那个满格的“免费WiFi”，可能压根不是店家的

你打开WiFi列表，看到“Starbucks_Free”、“McDonalds_WiFi”、“地铁免费网络”。名字熟，信号满格。点一下，连上了。速度快得离谱。

停。先别高兴。

有一种东西叫钓鱼热点。说白了，就是有人自己拿个设备，起一个和店家一模一样的名字。你连上去，所有数据先经过他的设备。你访问的网页、输入的账号密码、甚至没加密的聊天记录，他都能看。

这就像什么？你在路边看到一块牌子，写着“免费指路”。你跟着走。结果被带进小巷子。牌子是真的吗？不一定。但你已经跟过去了。

更麻烦的是，有些钓鱼热点会跳出一个认证页面，让你输入手机号、验证码，或者让你下载一个“认证客户端”。一旦下载，手机就可能被装上有问题的东西。乖乖，这可不是闹着玩的。

HTTPS不是金钟罩，但没它等于裸奔

现在很多网站都上了HTTPS。那个小锁图标，看着挺安心。但HTTPS只保证你到网站这一段是加密的。中间人如果搞了SSL剥离，或者你手贱点了“继续访问不安全网站”，那加密就破了。

我有个朋友，在商场连WiFi，弹出证书警告。他点了“信任”。然后登录了一个游戏账号。第二天，账号里的装备全没了。当然，也可能是巧合。但你说巧不巧。

还有个东西叫DNS劫持。你输入一个网址，本来该去A网站，结果被引到B网站。B网站长得和A一模一样。你输入账号密码。好了，直接送上门。

真正容易被忽略的，是手机里的“自动连接”

你手机里有个功能，叫“自动加入已知网络”。听着挺方便。但它会不停广播：我之前连过“CMCC”、“Starbucks”、“Airport_Free”。周围如果有黑客，他只要起一个同名热点，你手机就自动连上去了。你甚至没感觉。

还有那些“WiFi万能钥匙”类的App。你连过的WiFi，密码可能被分享出去。你家的、公司的、常去的咖啡馆。别人用万能钥匙一搜，直接连。而且这些App本身，也可能收集你的位置和连接记录。

再说个冷门的。MAC地址追踪。你的手机网卡有个MAC地址，理论上唯一。商场、车站可以通过WiFi探针，记录你的MAC，分析你走了哪条路、停留多久。虽然现在手机有“随机MAC”功能，但很多人没开。阿晓得啊，你逛个街，可能被算得清清楚楚。

说点实在的，怎么在公共WiFi下少踩坑

不是让你别用公共WiFi。有时候流量真不够。但可以注意几个事。

第一，关掉“自动加入已知网络”。尤其是安卓和苹果，设置里都有。别偷懒。

第二，看到没有密码的开放热点，多留个心眼。特别是名字和店家只差一个字母的。“Starbucks”和“Starbucks1”，哪个是真的？问店员。

第三，连上后如果弹出认证页面，让你装证书、装App、填身份证号，直接关掉。正规商场一般只要手机号验证码，但也要看情况。如果连验证码都要你转发给别人，那绝对有问题。

第四，在公共WiFi下，别登录重要账号。邮箱、社交、网盘。尤其是没有HTTPS的网站。如果非要登录，用手机流量。流量费再贵，也比账号被盗强。

第五，打开手机自带的“随机MAC地址”功能。苹果叫“私有WiFi地址”，安卓叫“随机MAC”。能减少被追踪。

对了，还有个小技巧。如果你实在要用公共WiFi，可以先用手机流量开个热点，给电脑用。电脑连自己的热点。虽然还是走流量，但至少中间没人偷看。

最后说个事。我后来问那个咖啡店店员，你们家WiFi叫啥？她说：“我们没WiFi。” 我愣住。所以那天我连的，到底是谁的？

不知道。但从此以后，我连任何公共WiFi之前，都会多看一眼名字。多问一嘴。多等三秒。毕竟，有些便宜，占了可能更贵。