公共 Wi‑Fi 冇 VPN 廣告講到咁恐怖，真正要睇 HTTPS 同假熱點
HTTPS 普及令風險細咗，但舊機、HTTP 同釣魚頁仲要避
公共 Wi‑Fi 已經唔係十年前嗰回事
XDA 呢篇講法值得拎出嚟拆，因為 VPN 廣告成日將商場、咖啡店、酒店 Wi‑Fi 講到好似一連就俾人偷晒銀行密碼。講真，呢個恐嚇劇本已經老咗。FTC 喺 2023 年嘅消費者建議都講到好白：因為網站加密已經好普及，用公共 Wi‑Fi 通常係安全。今日真正要睇三樣嘢：你連緊嘅網站同 app 有冇做啱加密、你部機有冇更新、你有冇亂撳假登入頁。
圖片：Google Security Blog
HTTPS 先係最大分水嶺
以前公共 Wi‑Fi 危險，係因為好多網站仲行 HTTP，隔籬枱有人 sniff packet 就可能睇到你送出去嘅資料。而家主流網站用 HTTPS，瀏覽器會用 TLS 幫你同 server 之間嘅內容加密，同時用 certificate 確認你去緊嘅網站冇俾人頂包。Google Chrome 團隊喺 2025 年 10 月講過，Chrome 開 HTTPS 頁面嘅比例喺 2020 年已經升到大約 95% 至 99%；Chrome 154 預計會喺 2026 年 10 月開始，預設對冇 HTTPS 嘅公開網站彈警告。呢個背景解釋咗點解今日公共 Wi‑Fi 冇以前咁易出事：攻擊者就算坐喺同一個熱點，都多數只見到加密後嘅流量。
WPA3 同 Enhanced Open 幫咗手，但唔好當周圍都有
XDA 提到 WPA3，呢點方向啱，不過要補一句：公共 Wi‑Fi 由 router 到你部機嗰段，未必條條都用到最新保護。Wi‑Fi Alliance 講 WPA3 會用新安全協議、禁舊 protocol、要求 Protected Management Frames；Enhanced Open 就可以喺免密碼公開網絡上加一層未認證加密。Android 文件亦寫明，Enhanced Open 係幫咖啡店、酒店、餐廳、圖書館呢類公開網絡做 OWE 加密，但佢冇驗證你連緊嘅熱點係真貨。即係同名假熱點、假 captive portal、釣魚登入頁，仍然可以呃到人。
VPN 有用，但賣點要分清楚
VPN 最實際嘅用途有三種：喺完全開放、冇密碼嘅 Wi‑Fi 上，幫你將裝置到 VPN server 呢段流量包起；用嚟隱藏你對外 IP 或處理地區限制；公司 VPN 就係返公司內網、套用公司安全政策。問題係，VPN 供應商唔會令釣魚網站變安全，亦唔會救到你喺假銀行頁面輸入密碼。至於 DNS 同追蹤，就更加似私隱問題：未開 encrypted DNS 時，熱點營運者可能估到你去過邊個 domain；開咗 DoH 或 VPN，呢條線會轉去 DNS 或 VPN 供應商，風險會轉位，唔會憑空消失。NSA 同 CISA 喺高風險手機通訊指引入面甚至提醒，個人 VPN 可能只係將剩低風險由 ISP 轉去 VPN 供應商。VPN 呢門生意，核心就係你信邊個出口。
香港日常點用先合理
去商場、咖啡店、機場、酒店或者共享工作空間，手機同 notebook 要上網，唔使一見公共 Wi‑Fi 就即刻驚到開飛行模式。比較實際嘅做法係：優先揀官方 SSID，唔好用自動加入陌生熱點；見到瀏覽器話 connection not private 或者冇 HTTPS，就停；銀行 app、證券 app、公司 admin panel 呢類操作，能夠用流動數據就用流動數據；手提電腦入到公共網絡時揀 Public network，關檔案 sharing，系統同 browser 保持更新。用公司機就跟公司 VPN 同 MDM policy，唔好自己裝免費 VPN 碰運氣。
仲有幾種情況要特別醒
最要避嘅，反而係低成本社交工程。假熱點可以改個名扮酒店或港鐵附近免費 Wi‑Fi，fake captive portal 可以叫你用 email、社交帳號甚至信用卡「驗證」，舊 Android 平板或停更 Windows 機又可能冇齊新 TLS、瀏覽器警告同 Wi‑Fi 安全更新。仲有一類係 HTTP 內聯網、舊 router 設定頁、IoT 管理頁，Google 都指出好多剩低 HTTP 其實喺私人地址或公司內網。對遙距工作同公司 IT 嚟講，呢啲位麻煩過普通 browse 新聞。
結論：唔使恐慌，但要有手掣
公共 Wi‑Fi 而家安全過十年前好多，原因係 HTTPS、瀏覽器警告、系統 firewall、WPA3/Enhanced Open 同 app 加密一齊補位。VPN 可以係工具，但唔應該用恐懼嚟賣成萬能保險。下次喺酒店 lobby 或咖啡店開 notebook，記住三件事：認清 SSID、尊重瀏覽器警告、敏感操作用流動數據或公司 VPN。做到呢幾樣，公共 Wi‑Fi 風險已經低好多；之後主要要防嘅，係假熱點同釣魚頁。
參考來源
- XDA Developers — Public Wi-Fi isn't as dangerous as VPN ads want you to believe — original report
- Are Public Wi‑Fi Networks Safe? What You Need To Know — FTC 消費者建議，支持 HTTPS 普及後公共 Wi‑Fi 通常安全嘅背景。
- HTTPS by default — Chrome Security team 交代 HTTPS 採用率同 2026 年 HTTP 警告計劃。
- Security | Wi‑Fi Alliance — 官方頁講明 WPA3、Wi‑Fi Enhanced Open 同 PMF 對 Wi‑Fi 安全嘅作用。
- WPA3 and Wi‑Fi Enhanced Open | Android Open Source Project — 補充 OWE/Enhanced Open 支援條件同「有加密但冇認證」呢個限制。
- Mobile Communications Best Practice Guidance — NSA/CISA 對高風險手機通訊嘅 VPN 建議，用嚟分清個人 VPN 同公司 VPN。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
