Achtergrond: VPN-advies op vakantie werkt gewoonweg niet overal

In dit artikel:

Een onderzoek in opdracht van webhostingbedrijf TransIP onder 1.052 Nederlanders laat zien dat veel vakantiegangers openbare wifi gebruiken zonder extra bescherming. Ruim een op de vijf doet dat voor alles, een derde alleen voor niet-privacygevoelige zaken en een op de acht uitsluitend met een VPN. Opgeteld komt dat neer op ongeveer 66 procent, maar daarin zit ook de groep die juist voorzichtig handelt. Zonder die VPN-gebruikers blijft 53 procent over. Bovendien heeft de enquête een foutmarge van ongeveer drie procentpunt en is zij uitgevoerd in opdracht van een bedrijf met een commercieel belang bij de aandacht voor VPN’s.

Het standaardadvies — gebruik een VPN of mobiele data — is nuttig, maar werkt niet altijd. Op cruiseschepen, campings, in hotels en in sommige treinen moeten apps soms rechtstreeks communiceren met een lokaal netwerk. Een VPN kan die verbinding blokkeren. Met split tunneling kan één app buiten de VPN-tunnel blijven; zonder die functie moet de gebruiker kiezen tussen de lokale dienst en de bescherming van de VPN.

Ook bij wifi met een verplichte inlogpagina biedt een VPN niet meteen bescherming. Eerst moet de gebruiker verbinding maken met het open netwerk en gegevens invullen, waarna de VPN pas kan starten. Een aanvaller kan zo’n netwerk en inlogscherm namaken en de ingevoerde gegevens onderscheppen voordat de VPN actief is.

Daarnaast is VPN-gebruik in sommige populaire vakantielanden verboden, aan een vergunning gebonden of geblokkeerd. Dat geldt onder meer voor Turkije, de Verenigde Arabische Emiraten, Oman, China, Rusland, Belarus, Iran, Irak, Turkmenistan en Oeganda. De regels zijn vaak vooral gericht op het omzeilen van internetblokkades, maar reizigers moeten ze wel kennen.

Het klassieke beeld van iemand die op openbare wifi rechtstreeks met een laptop je banksessie meeleest, is inmiddels grotendeels achterhaald. Vrijwel al het internetverkeer is versleuteld. Het werkelijke gevaar zit eerder in omleiding naar een valse website of een nagemaakte inlogpagina. Ook kan een netwerk zien met welke bank of werkgever iemand verbinding maakt, wat gerichte phishing geloofwaardiger maakt.

De veiligste en eenvoudigste oplossing is daarom eigen mobiele data. Binnen de EU kan een Nederlandse bundel doorgaans zonder extra kosten worden gebruikt; daarbuiten zijn tijdelijke databundels of een tweede simkaart vaak betaalbaar. Wie toch openbare wifi gebruikt, moet geen wachtwoorden of betaalgegevens invullen op een automatisch geopende pagina en tweestapsverificatie inschakelen, vooral voor e-mailaccounts.