Wi-Fi công cộng năm 2025 còn nguy hiểm không?

Có lẽ bạn đã nghe không ít lời khuyên rằng chỉ nên dùng Wi-Fi công cộng khi thật sự bất đắc dĩ, và nếu đã kết nối thì tuyệt đối tránh làm những việc nhạy cảm. Lời khuyên này hoàn toàn đúng… cách đây nhiều năm, và đến nay vẫn đúng ở một mức độ nhất định.

Nhưng câu hỏi đặt ra là: Internet đã thay đổi đủ nhiều để Wi-Fi công cộng trở nên an toàn hơn chưa? Câu trả lời có phần phức tạp hơn những gì chúng ta thường nghe.

Vì sao Wi-Fi công cộng bị xem là không an toàn?

Các mạng Wi-Fi công cộng ở sân bay, quán cà phê hay khách sạn từ lâu đã bị giới chuyên gia đánh giá là kém an toàn về bản chất, bởi chúng ưu tiên sự tiện lợi và dễ truy cập hơn là bảo vệ dữ liệu. Phần lớn các mạng này không yêu cầu mật khẩu hoặc gần như không có biện pháp bảo mật thực sự, đồng nghĩa với việc ai cũng có thể kết nối.

Lỗ hổng lớn nhất của nhiều điểm phát Wi-Fi công cộng nằm ở việc thiếu mã hóa mạnh. Dữ liệu truyền giữa thiết bị người dùng và router có thể bị gửi đi dưới dạng không được bảo vệ đầy đủ, tạo điều kiện cho kẻ xấu đang ở cùng mạng chặn bắt và đọc trộm thông tin như email, thông tin đăng nhập hay thậm chí là dữ liệu thẻ tín dụng.

Một trong những mối đe dọa phổ biến nhất là tấn công Man-in-the-Middle (MitM). Trong kịch bản này, hacker chen vào giữa người dùng và điểm phát Wi-Fi. Thiết bị của bạn tưởng rằng đang kết nối trực tiếp với hotspot, nhưng thực chất dữ liệu lại đi qua máy của kẻ tấn công trước. Điều này cho phép chúng nghe lén, chỉnh sửa dữ liệu đang truyền hoặc chiếm quyền cookie phiên đăng nhập để truy cập tài khoản mà không cần mật khẩu.

Chưa kể tới nguy cơ từ các điểm truy cập giả mạo (Evil Twin). Hacker thường tạo ra các mạng Wi-Fi có tên rất giống mạng thật, chẳng hạn như “Free_Coffee_WiFi”. Khi người dùng kết nối nhầm, toàn bộ luồng dữ liệu sẽ nằm trong tầm kiểm soát của kẻ tấn công, từ việc điều hướng sang trang lừa đảo cho tới cài mã độc. Ngay cả khi truy cập website HTTPS, các kỹ thuật tinh vi như SSL stripping vẫn có thể buộc trình duyệt hạ cấp xuống HTTP, khiến các lớp bảo mật quen thuộc trở nên vô dụng.

Vậy đến năm 2026 thì sao?

Những rủi ro kể trên vẫn tồn tại, nhưng điều đã thay đổi nằm ở cách các dịch vụ và hệ điều hành hiện đại bảo vệ người dùng. Internet ngày nay khác rất xa so với thời điểm mà các cảnh báo “đừng bao giờ dùng Wi-Fi công cộng” được đưa ra.

Trước đây, phần lớn lưu lượng web sử dụng HTTP không mã hóa. Khi bạn đăng nhập diễn đàn hay kiểm tra email trên Wi-Fi công cộng, mật khẩu gần như được gửi đi dưới dạng văn bản thuần. Ngày nay, phần lớn Internet đã chuyển sang HTTPS. Ngay cả khi hacker chặn được các gói dữ liệu, họ cũng chỉ thấy một chuỗi ký tự vô nghĩa, chứ không thể đọc được nội dung thực tế.

Đúng là kẻ tấn công vẫn có thể thử dùng SSL stripping để ép trình duyệt quay về HTTP, nhưng các trình duyệt và website hiện đại đã triển khai HSTS, buộc trình duyệt chỉ sử dụng HTTPS khi có sẵn. Bạn có thể tự thử bằng cách đổi HTTPS thành HTTP trên thanh địa chỉ, kết quả gần như chắc chắn là trình duyệt sẽ tự động chuyển lại sang HTTPS.

Với ứng dụng di động, tình hình còn khả quan hơn. Các ứng dụng nhắn tin phổ biến như iMessage hay WhatsApp đều dùng mã hóa đầu cuối, nơi tin nhắn được mã hóa ngay trên thiết bị gửi và chỉ được giải mã trên thiết bị nhận bằng khóa bí mật riêng. Ngay cả nhà phát triển ứng dụng cũng không thể đọc nội dung, huống chi là kẻ đang nghe lén trên Wi-Fi công cộng.

Một rủi ro khác từng tồn tại dai dẳng là DNS snooping, khi hacker không thấy nội dung bạn đọc nhưng biết bạn đang truy cập website nào. Tuy nhiên, các tính năng mới như Secure DNS hay DNS over HTTPS đã mã hóa cả truy vấn DNS, khiến nhà cung cấp Wi-Fi và kẻ nghe lén không còn thấy được tên miền bạn truy cập.

Wi-Fi công cộng sẽ không biến mất, vì nó được sử dụng quá rộng rãi. Thay vì loại bỏ, Internet đã thích nghi bằng cách bổ sung các lớp bảo mật mới. Rủi ro vẫn có, nhưng việc dùng Wi-Fi ở sân bay để gửi email hiện nay an toàn hơn rất nhiều so với trước kia.

Làm sao để an toàn hơn nữa?

Nếu bạn vẫn chưa thật sự yên tâm, vẫn có những cách đơn giản để tăng cường bảo mật. Biện pháp hiệu quả nhất là sử dụng VPN, tạo một đường hầm mã hóa cho toàn bộ kết nối Internet của thiết bị, không chỉ trình duyệt mà cả dữ liệu nền của hệ điều hành và ứng dụng. Nhờ đó, ngay cả quản trị mạng Wi-Fi cũng không thể thấy bạn truy cập những trang nào hay địa chỉ IP thật của bạn.

Ngoài ra, việc tắt chia sẻ file và dò tìm mạng sẽ ngăn các thiết bị khác trên cùng mạng nhìn thấy hoặc cố gắng truy cập máy tính của bạn. Bật DNS over HTTPS trong trình duyệt cũng giúp bịt một lỗ hổng quen thuộc bằng cách mã hóa các truy vấn DNS.

Và tất nhiên, một chút cẩn trọng thông thường vẫn rất quan trọng. Bạn nên xác nhận chính xác tên mạng Wi-Fi với nhân viên thay vì đoán mò, và coi mọi cảnh báo bảo mật từ trình duyệt là dấu hiệu cần ngắt kết nối ngay lập tức. Xác thực hai lớp cũng là “lưới an toàn” cuối cùng, giúp bảo vệ tài khoản ngay cả khi thông tin đăng nhập bị lộ do một tình huống nào đó.