夜里在酒店连公共WiFi，我踩过的那个坑

去年冬天出差，夜里晚上十点半回到酒店，酒店前台说房间WiFi密码贴在房卡套上。共W过我第二天一早要给客户发报价单，夜里电脑还剩17%的酒店电，手机热点信号只有一格。共W过时间压力就在这儿：我不想开手机热点耗电，夜里也懒得再下楼问前台，酒店于是共W过直接连了酒店大堂那串没设密码的开放网络。事后复盘，夜里问题不是酒店“公共WiFi一定不能用”，而是共W过我在几个具体节点上省了动作，把可控的夜里风险变成了被动。

22:40 选网络时，酒店我没核对SSID是共W过谁的

手机WiFi列表里同时出现三个名字相近的热点：“Hotel_Free”“Hotel-Guest”“HOTEL_WIFI”。我随手点了信号最强的那个，没问前台哪个是官方网络。这是第一个失手点。开放网络的名称谁都能起，攻击者常把热点名设得跟场所官方名称几乎一样，靠“信号强、不要密码”吸引人连上去。

后来我改的做法是：进店先问一句“你们客人用的WiFi叫什么名字”，对照房卡或前台告示上的名称再连。名称对不上、或者同一场所出现多个相似热点，就先不连。连上后看系统弹出的网络名称是否与告示完全一致，包括下划线和大小写。这一步不花时间，但能筛掉大部分冒充热点。

22:52 弹窗要求“重新登录”，我填了邮箱和常用密码

连上后浏览器自动跳出一个认证页，要求输入邮箱和密码“激活上网”。我当时以为是酒店的统一认证，就填了常用的邮箱密码。现在回看，这个动作最不该做。正规酒店的认证页通常只要房号加姓氏，或者点一下“同意条款”即可；要求输入邮箱密码、手机号加验证码、甚至银行卡信息的页面，要立刻停手。

判断标准很简单：认证页的地址栏是不是以场所官方域名结尾，页面里有没有场所名称和联系电话。拿不准就关掉页面，改用手机流量或问前台。涉及公共WiFi风险的场景里，最容易被利用的不是“被监听”，而是这种仿冒登录页直接骗走账号口令。我现在的习惯是：任何认证页都不填邮箱主密码，需要登录的账号先记下来，回到流量环境再操作。

23:05 传报价单前，我没确认连接是不是加密的

报价单里有客户名称和价格，我当时用网页邮箱的网页版直接上传附件。问题在于：开放网络下，如果网站本身是HTTP而不是HTTPS，传输内容可能被同一网络里的人看到。我没有看地址栏的锁形标志，也没有确认邮箱是否强制走加密连接。这一步的补救成本其实很低——看一眼地址栏是不是https开头，不是就先别提交敏感内容。

更稳妥的顺序是：先在本地把文件存好，确认网站地址为https，再登录上传；需要处理网银、公司后台这类高敏感操作，直接切手机热点，哪怕只开五分钟。热点耗电是小事，报价单外泄是另一回事。这也是我后来对“公共WiFi风险本地化”这件事最实在的理解：不是所有操作都要躲，而是把敏感动作挪到可信连接上。

次日 08:10 发现异常后，我先改密码再联系前台

第二天早上邮箱提示有一次异地登录尝试，我第一反应是改邮箱密码、开启两步验证，然后才给酒店前台打电话确认官方WiFi名称。顺序很重要：先止损，再核实。改完密码后我检查了登录记录，确认没有成功登录，才继续发报价单，这次用的是手机热点。

如果遇到类似情况，可以按这个顺序处理：立即修改相关账号密码并退出所有已登录设备；开启两步验证；保留异常登录提示的截图；向场所前台核实网络名称，必要时向场所管理方反映。涉及资金损失或明确诈骗线索的，走官方报警渠道，不要自己在网上找“追回服务”。日常预防上，把系统更新和自动连接“开放热点”的开关关掉，比事后补救省事得多。

这趟出差之后，我给自己定了一条很窄的规矩：在陌生场所连网前，先问名称、再看认证页、最后看地址栏的https。三步都过，才处理工作文件；任何一步对不上，就切热点。那晚我图省事跳过了三步，代价是一整晚的提心吊胆。现在多花两分钟，换的是第二天早上不用改密码的踏实。