Il Wi-Fi è sicuro in Messico?

Uno dei più grandi eventi calcistici di questa estate è la Coppa del Mondo 2026. Il torneo è ospitato insieme a tre paesi: Stati Uniti, Canada e Messico. Purtroppo eventi di questa portata attirano non solo i fan, ma anche i truffatori da tutto il mondo. Abbiamo già spiegato come i criminali informatici si stanno preparando per la Coppa del Mondo online e oggi parliamo di sicurezza digitale per i fan sul campo in Messico.

Il paese ospiterà 13 partite e accoglierà milioni di turisti. Soggiorneranno in hotel, andranno alle partite, cercheranno ristoranti, percorreranno gli aeroporti e visiteranno famose località turistiche — e ovunque andranno, la tentazione di connettersi al Wi-Fi pubblico sarà alta.

Abbiamo analizzato più di 84.500 (!) punti di accesso Wi-Fi pubblici a Città del Messico, Guadalajara e Monterrey e abbiamo molto da condividere sulla loro sicurezza. Avviso spoiler: molte reti utilizzano ancora standard di sicurezza obsoleti, quindi è davvero inopportuno andare in vacanza senza protezione affidabile e una eSIM.

Cosa abbiamo testato e come

Attraversare il Messico alla ricerca di punti di accesso Wi-Fi pubblici sarebbe stato un po’ difficile, anche se è esattamente quello che abbiamo fatto per un sondaggio sulla sicurezza Wi-Fi simile svoltosi a Parigi. I risultati sono disponibili nel nostro post Quanto è sicuro il Wi-Fi a Parigi?

Questa volta la missione era molto più impegnativa: mappare il panorama wireless di tre grandi metropoli. Ecco perché siamo entrati in gioco: scansione e registrazione delle reti wireless da un veicolo in movimento dotato di smartphone o laptop. È simile alla ricerca di una rete Wi-Fi sul telefono, in cui il dispositivo è costantemente in ascolto delle reti nelle vicinanze. Invece di connetterci, raccogliamo semplicemente dati su di loro.

Tutte le informazioni sono state utilizzate esclusivamente per l’osservazione passiva e l’analisi dell’infrastruttura. Oltre a ricevere informazioni sui servizi trasmessi pubblicamente, gli esperti del Global Research and Analysis Team (GReAT) di Kaspersky non hanno tentato di autenticare, intercettare il traffico, sfruttare i sistemi o interagire in altro modo con le reti wireless scoperte. Gli access point mobili distribuiti nelle automobili e sui dispositivi mobili sono stati esclusi dal campione.

Il nostro obiettivo principale era Città del Messico, la capitale e una delle città più densamente popolate dell’America Latina. Abbiamo fatto un giro in auto attraverso famose località turistiche: Stadio di Città del Messico, Aeroporto Internazionale di Città del Messico, Zócalo, Paseo de la Reforma, Colonia Roma, La Condesa, Polanco, Coyoacán.

A Guadalajara e Monterrey abbiamo guidato percorsi simili: stadi, viali principali, aeroporti e quartieri popolari. Di seguito è possibile visualizzare una heatmap delle aree coperte, che vanno dal rosso per le aree con la più alta densità di punti di accesso pubblici, al giallo e al verde, al blu per la concentrazione più bassa.

Abbiamo utilizzato la ricognizione radio passiva per registrare 84.500 segnali e 69.500 identificatori di rete univoci in queste tre città. La maggior parte dei segnali è stata acquisita a Città del Messico (61,4%), seguita da Guadalajara (23,6%) e Monterrey (14,8%).

Cosa abbiamo analizzato:

• Identificatori di rete wireless (SSID): nomi visualizzati nell’elenco delle reti Wi-Fi disponibili
• Informazioni che è possibile ricavare da questi identificatori
• Configurazioni dei router predefinite e modalità di implementazione delle reti da parte degli ISP
• Frequenze utilizzate e caratteristiche del segnale
• Carico del canale e utilizzo dello spettro delle radiofrequenze
• Suggerimenti per la sicurezza delle reti wireless
  • Reti aperte e non protette
  • Reti con WPS abilitato
  • Reti protette (WPA2/WPA3) con WPS attivato

La versione completa dello studio è disponibile nel blog di Securelist.

Nomi rivelatori dei punti di accesso Wi-Fi pubblici

I nomi di rete (SSID) possono dire molto poiché rivelano involontariamente informazioni su produttori di hardware, ISP e metodi di distribuzione e se un punto di accesso appartiene a un’azienda o a un utente privato.

Circa il 34% delle reti Wi-Fi pubbliche registrate non si è preoccupato affatto di cambiare i nomi, rispettando gli SSID di fabbrica dei produttori di router o utilizzando le convenzioni di denominazione standard dei propri ISP. Per gli utenti malintenzionati può trattarsi di un suggerimento piuttosto valido, poiché questo tipo di nome di rete consente di sapere quale provider possiede un determinato punto di accesso, quale hardware viene utilizzato e come è probabilmente configurato per impostazione predefinita.

Un’altra sfumatura problematica è il gran numero di reti Wi-Fi (oltre il 30%) che utilizzano l’indirizzo MAC del punto di accesso (BSSID) come nome della rete visibile. I primi byte di un BSSID contengono un Organizationally Unique Identifier (OUI), che indica il produttore del router. Questa è una pista utile per gli utenti malintenzionati: possono scoprire chi ha realizzato l’hardware e testare le vulnerabilità specifiche dei modelli di quel marchio.

Il Wi-Fi messicano è ben protetto?

Un punto di accesso protetto con WPA2/WPA3 può essere considerato più o meno sicuro. Tutti gli altri meccanismi di autenticazione producono risultati molto più vulnerabili. Sono state raggruppate le reti Wi-Fi pubbliche in quattro categorie:

• Protette (WPA2/WPA3)
• Non protette (aperte/WEP)
• Vulnerabili (WPA)
• Indefinite

I risultati sono più o meno gli stessi in tutte e tre le città: circa l’82% di tutti i punti di accesso analizzati è protetto da standard di sicurezza. Il protocollo WPA obsoleto e non protetto era praticamente inesistente. Tuttavia, oltre il 10% degli access point si è rivelato completamente non protetto. La connessione a queste reti comporta il rischio di intercettazione del traffico e sorveglianza nascosta.

Ma la sicurezza non viene valutata dai soli protocolli WPA. È stata inoltre verificata la presenza di WPS, la famigerata funzionalità per la connessione rapida a una rete senza immettere una password, che è altamente vulnerabile agli attacchi. È risultato che WPS è abilitato in quasi la metà (47%) degli access point a Città del Messico, il 43% a Guadalajara e il 41% a Monterrey. In media, il 45% degli access point è potenzialmente vulnerabile agli attacchi relativi a WPS, sacrificando la sicurezza per motivi di praticità.

Inoltre, questa funzionalità è rimasta spesso attiva anche su reti WPA2/WPA3 apparentemente sicure: circa la metà di esse utilizzava WPS. Questo dimostra che avere WPA2/WPA3 non è ancora sufficiente per considerare un punto di accesso Wi-Fi sicuro, poiché funzionalità aggiuntive come WPS possono comunque lasciare la porta aperta agli attacchi.

Cos’altro deve sapere ogni turista

I rischi digitali durante un viaggio non si limitano al solo Wi-Fi pubblico, soprattutto ora che molti stanno passando dal Wi-Fi pubblico a una eSIM. Le minacce nei luoghi affollati sono ancora numerose: caricatori USB pubblici, codici QR con collegamenti scambiati, attacchi NFC e Bluetooth e, naturalmente, tattiche di social engineering. Analizziamo il tutto.

Stazioni di ricarica. Anche i caricatori USB pubblici possono essere pericolosi: utenti malintenzionati potrebbero potenzialmente ottenere l’accesso ai dati nel dispositivo o tentare di installare malware. Abbiamo trattato in dettaglio questi attacchi nel nostro post, Furto di dati durante la ricarica dello smartphone.

Codici QR pericolosi. I criminali possono installare codici QR di phishing nelle famose località turistiche. I pretesti possono variare enormemente; ad esempio, annunci per “eventi” specifici per i fan o collegamenti che presumibilmente offrono sconti o menu di ristoranti. In realtà, qualsiasi codice QR affisso per strada può essere considerato non sicuro per impostazione predefinita e non è consigliabile eseguirne la scansione con lo smartphone a meno che non si disponga di un Analizzatore di minacce con codice QR installato.

Trasmissioni, biglietti e gruppi di scommesse falsi. In precedenza, abbiamo descritto casi in cui utenti malintenzionati distribuivano malware tramite false app IPTV per trarre vantaggio dall’hype WC26. Ricorda, anche se hai intenzione di guardare il torneo da casa, devi comunque stare all’erta e non fidarti dei primi siti che saltano fuori e pubblicizzano trasmissioni gratuite, offrono pool di scommesse o promettono vincite incredibilmente generose.

Attacchi NFC e Bluetooth. Anche lasciare il Bluetooth abilitato in luoghi affollati può causare problemi: qualcuno potrebbe tentare di rilevare il dispositivo, rintracciarti o avviare una richiesta di associazione indesiderata. Anche i servizi NFC con pagamenti contactless creano ulteriori rischi, specialmente quando si paga in punti difficili.

Scopri come proteggere te e il tuo veicolo.

Nonostante la prevalenza di punti di accesso Wi-Fi pubblici WPA2/WPA3 protetti a Città del Messico, Guadalajara e Monterrey, il nostro studio mostra che le reti Wi-Fi pubbliche rimangono vulnerabili. È inoltre importante ricordare che gli autori degli attacchi possono creare reti false, i cosiddetti gemelli malvagi, travestite da Wi-Fi pubblico legittimo in aeroporti, hotel, bar e località turistiche.

Per l’utente medio è praticamente impossibile stabilire quanto sia sicuro un punto di accesso specifico durante il tentativo di connessione. Ecco perché l’opzione più sicura è utilizzare i dati del cellulare per accedere a Internet — eliminando completamente la necessità del Wi-Fi. Inoltre, non è necessario ricercare le sfumature delle leggi locali, delle tariffe e di altri dettagli del cellulare per ogni paese che si prevede di visitare; puoi semplicemente acquistare una eSIM globale online in due clic. Nel nostro post Internet anche in viaggio con Kaspersky eSIM Store abbiamo spiegato come semplificare l’intero processo.

Se prevedi comunque di connetterti al Wi-Fi pubblico, utilizza sempre una VPN per proteggere il dispositivo e i dati quando ti connetti a reti Wi-Fi sconosciute, soprattutto non protette. La VPN crea un tunnel criptato tra il dispositivo e il server VPN, rendendo impossibile l’intercettazione dei dati lungo il percorso. Non hai ancora scelto una VPN? Prova Kaspersky VPN Secure Connection, inclusa negli abbonamenti Kaspersky Premium e Kaspersky Plus.

Adesso, se hai ancora intenzione di partecipare alla Coppa del Mondo senza nessuna soluzione di sicurezza informatica, segui almeno queste regole di base dell’igiene digitale:

• Non utilizzare caricatori USB pubblici
• Non inviare informazioni riservate tramite connessioni non sicure
• Non accedere ad account bancari, e-mail o social media tramite Wi-Fi non protetto
• Disattiva Bluetooth e NFC quando cammini in luoghi affollati
• Non fidarti dei codici QR affissi per strada
• Connettiti a una rete Wi-Fi pubblica solo quando assolutamente necessario

Cos’altro leggere per essere sicuro che tifare per la propria squadra del cuore non sia solo emozionante, ma anche sicuro:

• Non lasciare che app IPTV false rovinino i tuoi Mondiali di calcio
• Mondiali 2022 e cyber minacce
• Come guardare il calcio in sicurezza
• Viaggia in sicurezza e comodità
• Airbnb: consigli per viaggi sicuri