公共 Wi-Fi：為什麼不安全
開放式網路的先天缺陷：沒有加密，等於沒有隱私
無線網路的資料是透過無線電波傳輸的，這和有线網路的實體線路不同。有線網路你必須實際接到線才能竊聽，無線網路只要在訊號範圍內，任何人架設一根天線就能接收。如果網路沒有加密，所有傳輸內容——包括你輸入的帳號密碼、瀏覽的網頁、寄出的信件——都會以明文形式在空中飛來飛去。
打個比方：使用有線網路就像在封閉的隧道裡傳紙條，外面的人看不到；使用沒有加密的公共 Wi-Fi，就像在公園裡大聲朗讀你的信用卡號，路過的人只要願意聽，全都聽得到。
有些公共 Wi-Fi 會使用「 captive portal 」登入頁面，要求你輸入房號或電話號碼。這看起來好像有一道防線，但實際上登入頁面與無線加密是兩回事。你通過了網頁驗證，不代表你的無線傳輸被加密。資料仍然可能被側錄。
加密機制的缺失與常見誤解
目前主流的無線加密協定是 WPA2 與 WPA3。WPA2 已經使用多年，雖然有已知的 KRACK 等漏洞，但在正確設定下仍有一定保護力；WPA3 則進一步強化了加密與防護。然而，許多公共 Wi-Fi 為了「讓大家都能連」，選擇不啟用加密，或是使用「開放式 + 網頁驗證」的混合模式。
更常見的誤解是：「有密碼的 Wi-Fi 就安全。」這句話只在「密碼是私密且唯一」的前提下成立。如果店家的 Wi-Fi 密碼貼在牆上、寫在菜單上，那這個密碼只具備「防止路人亂連」的弱功能，對於真正想攻擊的人來說，完全不是障礙。更別提某些場所使用的是「全分店共用密碼」，一旦密碼外流，等於門戶洞開。
還有一種情況是「WEP 加密」。WEP 是非常老舊的協定，早已被證明能在幾分鐘內破解。有些不肖業者或老舊設備仍在使用 WEP，使用者若看到連線時提示「WEP」，最好直接跳過。
中間人攻擊（MITM）：你以為連的是 Google，其實是駭客
中間人攻擊（Man-in-the-Middle，簡稱 MITM）是公共 Wi-Fi 最經典、也最常見的威脅之一。它的原理是：駭客讓自己成為你與網路目的地之間的「轉運站」。你以為資料直接送到網站伺服器，實際上先經過駭客的設備，再由他轉送出去。
在公共 Wi-Fi 環境中，MITM 特別容易實現。駭客可以：
架設一個名稱與店家相同的假熱點（Evil Twin），引誘你連線。
使用 ARP 欺騙、DNS 欺騙等技術，把流量導向自己的設備。
利用公開工具（如 Bettercap、Ettercap、Wireshark）進行封包攔截與分析。
一旦成功，駭客可以竊取你的登入憑證、植入惡意程式、篡改網頁內容，甚至發動會話劫持（Session Hijacking），直接冒用你已登入的帳號。
偽冒熱點（Evil Twin）：看起來像真的，其實是陷阱
偽冒熱點是 MITM 的一種具體手法，也是公共場所最難防的陷阱之一。駭客會架設一個無線基地台，把 SSID（網路名稱）設定成和附近知名店家或場館一模一樣。例如「Starbucks Free Wi-Fi」、「Airport_Guest」、「Free_Coffee_WiFi」等。
由於手機與筆電通常會自動記住曾連線過的網路名稱，或是使用者看到熟悉的名稱就放心點下去，這個假熱點很容易吸引人上鉤。連上之後，駭客可以：
提供一個偽造的登入頁面，騙取你的帳號密碼。
將你導向釣魚網站。
攔截所有未加密的流量。
對你的裝置發動漏洞攻擊。
更惡劣的是，有些假熱點會在你連線後「正常」提供上網服務，讓你完全不覺得有異狀，但實際上所有資料都先經過駭客手上。
封包嗅探與側錄：空中的資料不是秘密
封包嗅探（Packet Sniffing）是指透過工具攔截並分析網路上傳輸的資料封包。在沒有加密的公共 Wi-Fi 中，這幾乎是「零門檻」的攻擊。駭客只需要一台支援監聽模式的無線網卡，搭配 Wireshark 等免費軟體，就能看到附近使用者的網路活動。
雖然現在多數網站已採用 HTTPS 加密，讓攻擊者難以直接讀取內容，但仍有大量資料在傳輸過程中是明文的，例如：
未加密的電子郵件（POP3、IMAP 未加密模式）。
部分即時通訊或舊版應用程式。
DNS 查詢記錄（你造訪了哪些網站）。
網頁標題、部分 URL 參數。
裝置的 MAC 位址、主機名稱等中繼資料。
這些「看似不重要」的資訊，組合起來就能勾勒出你的行為模式、興趣、甚至身分。對於有心人士而言，這已經是相當有價值的情報。
DNS 劫持與惡意重定向
DNS 是網際網路的「電話簿」，負責把網域名稱轉換成 IP 位址。在公共 Wi-Fi 中，DNS 查詢通常是由場域的路由器或 DHCP 伺服器指定。如果這個環節被駭客控制，他就可以把你要造訪的網址，導向一個長得一模一樣的釣魚網站。
例如你輸入「www.bank.com」，DNS 卻回傳一個駭客架設的假銀行網站 IP。由於網址列看起來完全正確，很多人不會察覺異狀，就在假網站上輸入了帳號密碼。這就是 DNS 劫持（DNS Hijacking）的可怕之處。
此外，駭客也可能透過「惡意重定向」把使用者導向含有惡意程式的網站，或是強迫下載假造的「連線工具」、「憑證更新」等檔案。
三、常見的公共 Wi-Fi 攻擊手法一次看
了解根本原因之後，我們進一步把常見攻擊手法整理出來。這些手法在真實世界的資安事件中反覆出現，並非危言聳聽。
中間人攻擊與會話劫持
中間人攻擊的進階版是「會話劫持」。當你登入某個網站後，伺服器會發給瀏覽器一個 Session ID（會話識別碼），用來辨識你已經登入。如果這個 ID 在傳輸過程中被駭客攔截，駭客就能直接拿這個 ID 冒充你，不需要知道你的密碼，也能操作你的帳號。
在公共 Wi-Fi 中，如果網站沒有妥善使用 HTTPS，或使用者的瀏覽器設定不安全，Session ID 就可能以明文傳輸。這也是為什麼「在公共 Wi-Fi 上登入網路銀行」是極高風險行為的原因之一。
邪惡雙胞胎（Evil Twin）與假熱點
前面已經提過 Evil Twin 的原理。實務上，駭客會選擇人潮眾多的地點，例如機場出境大廳、連鎖咖啡店、大型會議中心，架設名稱相似的熱點。有些人甚至會使用「訊號增強器」讓假熱點的訊號比真熱點更強，讓裝置優先連上假熱點。
防範方式之一是「確認官方網路名稱」，但這在實務上並不容易，因為許多場域的官方名稱並不統一，或是沒有明顯公告。更可靠的做法是：不要自動連線、連線前先向店家確認、並使用 VPN。
惡意軟體散布與強制下載
有些假熱點會在連線後跳出「需要安裝憑證」或「請更新連線工具」的視窗，誘導使用者下載惡意程式。這些程式可能偽裝成 PDF 閱讀器、瀏覽器更新、甚至防毒軟體，一旦安裝，就可能竊取資料、加密檔案（勒索軟體），或是將裝置變成殭屍網路的一部分。
另一種手法是「路過式下載」（Drive-by Download），利用瀏覽器或外掛程式的漏洞，在使用者不知情的情況下植入惡意程式。這也是為什麼保持作業系統與瀏覽器更新如此重要。
側錄與流量分析
即使沒有主動攻擊，光是「觀察」也能造成傷害。攻擊者可以透過流量分析，判斷使用者的作息、造訪的網站類型、使用的裝置型號，甚至推測出使用者的身分。這些資訊在社交工程攻擊中非常有用。
例如，攻擊者發現你每天晚上都會連上某個健身論壇，他就能寄一封偽裝成該論壇的釣魚信，提高你點擊的機率。
四、使用者在公共 Wi-Fi 上最常犯的危險行為
技術風險固然存在，但真正讓問題擴大的，往往是使用者的行為習慣。以下幾種行為，是公共 Wi-Fi 資安事件中最常見的「幫兇」。
登入網路銀行與進行金融交易
這是最危險的行為之一。網路銀行、行動支付、加密貨幣交易所，這些服務牽涉到金錢，一旦帳號被盜，損失往往難以挽回。在公共 Wi-Fi 上，即使網站有 HTTPS，仍可能遭到 MITM 攻擊或 DNS 劫持。更別提有些使用者會使用「記憶密碼」功能，讓瀏覽器自動填入帳密，這在公共環境中風險更高。
建議：金融相關操作，一律使用自己的行動網路，或等回到信任的網路環境再進行。
登入重要帳號與使用弱密碼
電子郵件、社群媒體、雲端硬碟，這些帳號往往綁定了其他服務的「忘記密碼」功能。一旦電子郵件被盜，攻擊者就能透過「忘記密碼」重設你其他所有帳號的密碼。在公共 Wi-Fi 上登入這些帳號，等於把家裡的鑰匙交給陌生人。
此外，許多使用者在公共場所會使用簡單密碼或重複密碼，這讓「撞庫攻擊」（Credential Stuffing）更容易成功。建議使用密碼管理器，並開啟雙因素驗證（2FA）。
忽略 HTTPS 警告與憑證錯誤
瀏覽器看到憑證錯誤時，會跳出警告頁面。很多人為了「趕時間」，會直接點「繼續前往」。這個動作等於無視了網站身分驗證失敗的警訊，可能正踏入釣魚網站或 MITM 陷阱。
在公共 Wi-Fi 上，看到憑證錯誤時，正確做法是立刻停止操作、斷開連線。不要抱持「應該還好吧」的心態。
開啟「自動連線」功能
手機與筆電通常會記住曾連線過的 Wi-Fi，並在偵測到相同名稱時自動連線。這個功能很方便，但也讓 Evil Twin 攻擊更容易得逞。攻擊者只要使用相同的 SSID，你的裝置就可能自動連上假熱點，而你完全不會察覺。
建議關閉「自動加入熱點」功能，並定期清除已儲存的公共網路。
在公共 Wi-Fi 上傳輸機密資料
公司文件、客戶資料、個人身分證件掃描檔、醫療報告等，這些資料一旦外流，後果可能遠超金錢損失。在公共 Wi-Fi 上傳輸這類資料，風險極高。若非必要，應避免在公共環境處理機密資訊；若必須處理，應使用企業 VPN 或加密通道。
五、如何在公共 Wi-Fi 環境中保護自己
看到這裡，你可能會想：「那是不是乾脆不要用公共 Wi-Fi？」這當然是最安全的做法，但在實務上並不完全可行。比較務實的態度是：理解風險、降低暴露、養成習慣。以下提供具體可執行的建議。
使用 VPN 加密所有流量
VPN（虛擬私人網路）是目前最有效的公共 Wi-Fi 防護工具之一。它會在你的裝置與 VPN 伺服器之間建立加密通道，即使你連上的是不安全的公共網路，駭客也難以解讀你的流量內容。這對於防範封包嗅探、MITM、DNS 劫持都有明顯效果。
選擇 VPN 時，應注意：
是否有明確的隱私政策與「不記錄日誌」承諾。
是否使用現代加密協定（如 WireGuard、OpenVPN）。
是否來自信譽良好的廠商，避免使用免費但來源不明的 VPN。
公司提供的企業 VPN 通常比免費工具更可靠。
確認網站使用 HTTPS，並注意網址列
HTTPS 可以加密瀏覽器與網站之間的傳輸，降低被竊聽的風險。現今大多數網站都已支援 HTTPS，但仍有一些老舊網站或釣魚網站沒有。使用公共 Wi-Fi 時，應養成確認網址列是否有鎖頭圖示、網址是否正確的習慣。
此外，可以安裝瀏覽器擴充功能（如 HTTPS Everywhere，雖然已停止維護，但精神仍值得參考），或開啟瀏覽器的「永遠使用 HTTPS」設定。
關閉自動連線與檔案分享
在公共場合，應關閉裝置的「自動加入 Wi-Fi」功能，並關閉「檔案與印表機分享」、「AirDrop 對所有人開放」等設定。這些功能在信任的家中網路很方便，但在公共環境中可能成為攻擊入口。
Windows 使用者應將網路設定為「公用網路」，macOS 使用者應確認防火牆已開啟，並關閉不必要的共享服務。
避免在公共 Wi-Fi 上進行敏感操作
這是最基本也最有效的原則：不要在公共 Wi-Fi 上登入網路銀行、進行大額轉帳、輸入信用卡資料、處理機密文件。如果真的有急事，改用行動網路熱點，或是等回到安全環境再處理。
另外，也應避免在公共 Wi-Fi 上安裝來路不明的軟體、點擊不明連結、或回覆要求提供個人資料的訊息。
保持系統與應用程式更新
許多攻擊是透過已知漏洞進行的。如果作業系統、瀏覽器、應用程式沒有更新，等於門窗沒關好。建議開啟自動更新，並定期檢查是否有安全性修補。
此外，安裝可靠的防毒軟體與防火牆，也能多一層防護。不過要注意，防毒軟體不是萬靈丹，良好的使用習慣才是根本。
使用行動網路分享，取代公共 Wi-Fi
如果你經常需要在外工作，可以考慮使用手機的行動熱點，或申辦第二張 SIM 卡搭配行動路由器。雖然這需要額外成本，但相比於資料外洩或金錢損失，這筆投資往往值得。
使用行動熱點時，記得設定強密碼（WPA2 或 WPA3），並定期更換。不要使用預設密碼，也不要把熱點名稱設成容易辨識你身分的資訊。
六、場域提供者的責任：從源頭改善公共 Wi-Fi 安全
公共 Wi-Fi 的安全不能只靠使用者自保。提供網路的店家、場館、電信業者與政府單位，也應負起相對應的責任。以下是幾個關鍵方向。
啟用加密與驗證機制
提供者應優先採用 WPA2 或 WPA3 加密，並使用獨立的密碼或憑證驗證。若必須使用開放式網路，至少應搭配 Captive Portal 與流量隔離，避免使用者之間互相攻擊。
此外，應定期更換密碼、監控異常連線、並更新路由器韌體。這些基本功做好，就能阻擋掉大部分低階攻擊。
網路隔離與存取控制
公共 Wi-Fi 應與場域的內部網路（如 POS 系統、監視器、辦公網路）隔離。這樣即使使用者端被入侵，也不會波及到場域的核心系統。此外，可透過 VLAN 分段、MAC 位址過濾、連線數限制等方式，降低濫用風險。
清楚標示網路名稱與資安告示
場域應在明顯處公告官方 Wi-Fi 名稱、連線方式與資安提醒。這可以幫助使用者辨識真假熱點，也能提升整體資安意識。有些場域會提供「一店一密碼」或「動態密碼」，這些做法都有助於降低風險。
七、常見問題 FAQ
Q1：公共 Wi-Fi 有密碼就安全嗎？
不一定。如果密碼是公開張貼、多人共用，或使用老舊的 WEP 加密，安全性仍然很低。有密碼只代表「需要多一步才能連線」，不代表資料傳輸受到完整保護。真正重要的是加密強度與驗證機制。
Q2：使用 HTTPS 的網站，在公共 Wi-Fi 上就絕對安全嗎？
HTTPS 可以加密瀏覽內容，降低被竊聽的風險，但無法完全防範 MITM、DNS 劫持或釣魚網站。攻擊者仍可能透過假憑證、惡意重定向等方式欺騙使用者。因此，HTTPS 是必要條件，但不是充分條件。
Q3：手機連公共 Wi-Fi 會自動被駭嗎？
不會「自動」被駭，但風險確實存在。如果你連上的是假熱點，或裝置有未修補的漏洞，攻擊者就有機可乘。養成關閉自動連線、使用 VPN、不進行敏感操作等習慣，可以大幅降低風險。
Q4：免費 VPN 可以用嗎？
免費 VPN 良莠不齊，有些會記錄使用者資料、插入廣告，甚至販售流量。若要用於公共 Wi-Fi 防護，建議選擇信譽良好的付費服務，或使用公司提供的企業 VPN。免費工具並非完全不能用，但應謹慎評估其隱私政策。
Q5：在公共 Wi-Fi 上只看 YouTube、滑社群，也會有風險嗎？
風險較低，但不代表沒有。攻擊者仍可透過流量分析推測你的行為，或利用惡意廣告（Malvertising）進行攻擊。此外，若你點擊了不明連結，也可能被導向釣魚網站。保持警覺、不隨意點擊，是基本原則。
八、結語：方便不該以安全為代價
公共 Wi-Fi 是現代生活的一部分，它帶來便利，也帶來風險。這篇文章並不是要你從此拒絕所有公共網路，而是希望你能理解風險、做出選擇、養成習慣。
記住幾個核心原則：不自動連線、不使用敏感服務、優先使用 VPN、確認 HTTPS、保持系統更新、必要時改用行動網路。這些動作看起來微不足道，卻能在關鍵時刻保護你的資料與財產。
資安不是一次性的任務，而是一種生活態度。下次當你在咖啡廳看到「Free Wi-Fi」時，不妨多花三秒鐘想一想：這個網路是誰提供的？我連上去之後要做什麼？我有沒有做好防護？這三秒鐘的思考，可能就是你與資料外洩之間的距離。