Картина знакомая. Я подключаюсь к бесплатному Wi-Fi в кафе или аэропорту, смартфон уже показывает значок сети, но вместо интернета открывается страница с просьбой указать телефон. Иногда приходит СМС, иногда нужно позвонить на бесплатный номер, войти через Госуслуги или банковскую учётную запись. Возникает логичный вопрос, зачем роутеру вообще знать, кто я.
Короткий ответ такой. Номер нужен не Wi-Fi как технологии. Его запрашивает система идентификации публичной сети. Российские правила в ряде сценариев требуют от оператора связи идентифицировать пользователя и его оборудование перед предоставлением разового публичного доступа. Номер мобильного стал удобным способом такой проверки, но закон не требует от каждого кафе собирать именно номера телефонов и не предписывает использовать именно СМС.
Тема снова стала массовой. В первые две недели ограничений мобильного интернета в центре Москвы количество подключений к публичным Wi-Fi-сетям выросло почти в четыре раза, примерно до 23 млн сессий. Именно сессий, а не 23 млн разных людей.
Почему Wi-Fi подключён, а интернета ещё нет
Смартфон проходит два разных этапа, которые пользователь обычно воспринимает как одно подключение. Сначала устройство устанавливает беспроводное соединение с точкой доступа, получает сетевые параметры и оказывается внутри локальной сети. Доступ во внешний интернет при этом может оставаться закрытым.
За вторую часть отвечает captive portal, по-русски обычно говорят «портал авторизации». Стандартизированная архитектура такого доступа описана в документах IETF и RFC 8908. Сеть знает, что конкретное устройство находится в ограниченном состоянии, показывает страницу входа, а после выполнения условий разрешает его трафику выход наружу.
Упрощённо процесс выглядит так.
- Смартфон подключается к точке доступа.
- Сеть выдаёт ему локальный IP-адрес.
- Операционная система проверяет наличие полноценного доступа в интернет.
- Сеть сообщает, что требуется дополнительное действие, либо перенаправляет проверочный запрос на портал.
- Пользователь проходит предусмотренную идентификацию.
- Система связывает успешную проверку с текущим устройством или сетевой сессией.
- Шлюз разрешает доступ во внешний интернет.
Поэтому значок Wi-Fi сверху экрана ничего не говорит о наличии интернета. Радиоканал уже работает, а сетевой шлюз ещё не разрешил трафик.
Современные captive portal уже не обязаны строиться на грубой подмене любого открываемого сайта. IETF разработала отдельные механизмы, через которые устройство может узнать состояние сети и адрес страницы входа. Старые реализации всё ещё встречаются, поэтому иногда портал появляется только после попытки открыть сайт вручную.
Что на самом деле требует российский закон
Именно здесь в большинстве статей появляется главная ошибка. В интернете до сих пор регулярно ссылаются на постановление Правительства РФ №758 от 31 июля 2014 года и делают вывод, будто документ требует у посетителя кафе мобильный номер. Постановление №758 больше не действует.
Нужные нормы перешли в новые правила. Для телематических услуг действует постановление Правительства РФ №2607. Пункт 21 предусматривает, что при разовых телематических услугах связи в пунктах коллективного доступа оператор идентифицирует пользователя и используемое оконечное оборудование. Правила продолжают действовать и ограничены сроком до января 2028 года.
Похожая норма есть в правилах оказания услуг связи по передаче данных по постановлению №2606. Пункт 28 также требует идентифицировать пользователя и оборудование при срочном договоре на разовую услугу в пункте коллективного доступа. Действующую редакцию с поправками можно проверить на сайте Правительства России и в «КонсультантПлюс».
Но из правил не следует формула «публичный Wi-Fi обязан запросить СМС». Нормы разрешают установить личность по документу или иным способом, который достоверно устанавливает необходимые сведения. В числе вариантов прямо названы ЕСИА и достоверное установление абонентского номера мобильной связи.
Разница принципиальная. Закон регулирует идентификацию в определённых сценариях оказания услуг связи, а не внешний вид формы на экране. Поэтому одна сеть просит код из СМС, другая предлагает звонок, третья использует Госуслуги. «Ростелеком», например, поддерживает СМС, звонок, Госуслуги и банковские ID.
Поэтому подключиться без ввода номера телефона иногда можно. Если портал предлагает Госуслуги или другую предусмотренную сетью идентификацию, номер непосредственно в форму Wi-Fi вводить не потребуется. Если конкретная сеть поддерживает только подтверждение мобильного номера, кнопки «пропустить идентификацию» у пользователя обычно нет.
Есть ещё один распространённый миф. СМС-код не означает, что кафе автоматически получает у мобильного оператора паспорт пользователя. В действующих правилах достоверное установление абонентского номера указано как самостоятельный способ идентификации для такого сценария. Из текста норм не следует обязанность передавать владельцу кафе паспортную карточку абонента. Реальный набор данных зависит от того, кто выступает оператором системы и как устроена конкретная платформа.
Что сеть связывает с пользователем и почему MAC уже не так прост
После авторизации системе нужно понять, какому устройству открыть интернет. Российские правила поэтому говорят не только об идентификации пользователя, но и об идентификации оконечного оборудования с помощью уникального идентификатора.
На практике сетевой шлюз может работать с MAC-адресом, локальным IP-адресом, параметрами текущей сессии и внутренним идентификатором портала. Нельзя утверждать, что любой российский публичный Wi-Fi обязательно сохраняет один и тот же фиксированный набор полей, время посещения каждого сайта или заводской MAC-адрес. Архитектуры отличаются, как отличаются и политики хранения журналов.
С MAC-адресами ситуация особенно изменилась. Android начиная с версии 10 по умолчанию использует случайные MAC-адреса для Wi-Fi. Поэтому точка доступа часто видит не заводской адрес радиомодуля, а адрес, созданный операционной системой для конкретной сети.
Apple делает похожее. iPhone, iPad и Mac используют частные Wi-Fi-адреса. В современных версиях системы для открытых и слабо защищённых сетей адрес может периодически меняться. Механизм описан в документации Apple, а влияние случайных MAC на сетевую идентификацию отдельно разбирает Cisco.
Из рандомизации следует интересный практический эффект. Публичная сеть иногда снова просит авторизацию на устройстве, которое раньше уже «помнила». Для шлюза новый случайный MAC может выглядеть как другое оборудование. Отключать приватный MAC только ради того, чтобы реже видеть captive portal, я бы не советовал. Функция снижает возможность связывать один постоянный аппаратный идентификатор с активностью устройства в разных беспроводных сетях.
Рандомизация при этом не превращает соединение в анонимное. Если пользователь сам подтвердил номер телефона, а система затем связала проверку с текущей сессией, временный MAC не отменит такой связи. Частный адрес решает другую задачу, он мешает использовать один постоянный MAC как глобальный маяк устройства.
Главный риск не СМС, а портал, которому вы поверили
Запрос телефона сам по себе не признак атаки. Опаснее привычка доверять любой странице, которая появилась сразу после подключения.
Название Wi-Fi не подтверждает подлинность точки. Атакующий может создать сеть с тем же или очень похожим SSID, например Airport_Free_WiFi или Hotel_Guest, после чего показать собственную страницу входа. Такой сценарий называют Evil Twin. Угроза описана в рекомендациях CISA, а на SecurityLab есть отдельный разбор Wi-Fi Pineapple и поддельных точек доступа.
Поддельный SSID даже не самая неприятная версия атаки. Летом 2026 года Microsoft раскрыла кампанию CaptiveCrunch против гостиничных и других гостевых сетей. В описанных случаях атакующие манипулировали DNS и HTTP-трафиком уже внутри скомпрометированной инфраструктуры captive portal, перенаправляли путешественников на фишинговые ресурсы и распространяли вредоносные файлы.
Кейс показателен по одной причине. Даже правильное название сети и привычный портал не дают абсолютной гарантии, что инфраструктура за ними не скомпрометирована.
При этом старый совет «в публичном Wi-Fi злоумышленник видит все ваши пароли» давно слишком примитивен. Большинство современных сайтов используют HTTPS, поэтому содержимое соединения между браузером и настоящим сервером шифруется. Современное состояние публичного Wi-Fi и роль HTTPS хорошо объясняет FTC, похожие рекомендации по защите беспроводных соединений публикует NSA.
HTTPS не спасает от другой ошибки. Если человек сам открыл фальшивую форму и ввёл в неё пароль, код подтверждения или банковские данные, шифрование честно защитит передачу информации до сервера злоумышленника.
Поэтому при подключении к общественной сети я смотрю не столько на сам факт запроса номера, сколько на поведение портала.
- Проверяю название сети. В отеле, аэропорту или кафе лучше сверить SSID с официальной табличкой или спросить сотрудника.
- Не игнорирую ошибку сертификата. Кнопка «продолжить всё равно» на странице входа резко повышает риск.
- Не ввожу пароль от почты или рабочего аккаунта в непонятную форму. Обычному порталу Wi-Fi такой пароль не нужен.
- Не устанавливаю сертификаты, программы и «обновления браузера» из captive portal. Именно похожие приманки встречались в реальных атаках на гостиничные сети.
- Оставляю включённым случайный или частный MAC. Причины отключать механизм в обычной публичной сети встречаются редко.
- Отключаю автоматическое подключение к ненужным открытым сетям. Знакомое имя Wi-Fi само по себе ничего не доказывает.
VPN полезен после подключения, потому что создаёт дополнительный зашифрованный туннель для трафика. Но VPN не способен превратить поддельный SSID в настоящий и не защищает от данных, которые пользователь добровольно отправил фальшивому порталу до установления туннеля. Поэтому проверка сети остаётся первым рубежом.
Материал предназначен для легального и ответственного использования. При работе с беспроводными сетями нужно соблюдать законодательство своей страны, включая законодательство России. Нельзя создавать поддельные точки доступа для сбора чужих данных, перехватывать трафик без разрешения, вмешиваться в работу сетей или использовать такие методы для несанкционированного доступа.
Мой вывод простой. Просьба ввести номер в публичном Wi-Fi в России сама по себе нормальна и обычно связана с системой идентификации пользователя. Но фраза «так требует постановление №758» устарела, а утверждение «закон требует именно СМС» неверно. Действующие правила допускают разные способы идентификации. Если сеть предлагает Госуслуги или другой подходящий механизм, номер непосредственно в форму Wi-Fi можно не вводить.
Главный вопрос при подключении я формулирую иначе. Не «почему у меня требуют телефон», а «кто именно сейчас просит мои данные». Ответ на второй вопрос намного сильнее влияет на безопасность.
Частые вопросы
Почему Wi-Fi просит номер телефона
Номер используют как способ идентификации пользователя публичной сети. После подтверждения система связывает авторизацию с текущим подключением и разрешает доступ в интернет.
Можно ли подключиться к публичному Wi-Fi без номера телефона
Иногда да. Если оператор предлагает вход через ЕСИА, банковскую идентификацию или другой допустимый механизм, вводить номер непосредственно в форму Wi-Fi не потребуется. Если сеть поддерживает только мобильную идентификацию, штатного анонимного пропуска обычно нет.
Требует ли закон авторизацию Wi-Fi именно по СМС
Нет. Действующие правила требуют идентификации в предусмотренных ими сценариях, но допускают разные способы. СМС стало популярным техническим решением, а не единственным установленным законом вариантом.
Действует ли постановление №758 о публичном Wi-Fi
Нет. Постановление №758 фактически прекратило действие в январе 2022 года. Сейчас соответствующие правила содержатся прежде всего в постановлениях Правительства РФ №2606 и №2607.
Безопасно ли вводить номер телефона в Wi-Fi
Сам запрос номера не выглядит подозрительно для публичной сети. Перед вводом нужно убедиться, что выбрана настоящая точка и официальный портал. Запрос пароля от почты, банковских реквизитов, установки сертификата или программы должен насторожить.
Почему публичный Wi-Fi снова просит авторизацию
Причин несколько. Истёк срок прошлой сессии, сеть очистила старую запись или смартфон подключился с другим случайным MAC-адресом. Для системы такое подключение может выглядеть как новое устройство.
