Tíz beállítás, amely biztonságosabbá teszi az otthoni 5G routert
A gyári jelszó cseréje és az automatikus frissítés a két legfontosabb lépés. Mobilinternetes routernél az SMS-es parancsok és a nyilvános IP-cím is támadási felület.
Az amerikai FBI és a brit nemzeti kiberbiztonsági központ (NCSC) 2026. április 7-én arra figyelmeztetett, hogy az orosz katonai hírszerzés sérülékeny routerek DNS-beállításait írja át, így a felhasználók névfeloldása a támadók szerverein megy át. Az FBI közleménye egy elterjedt routergyártó ismert sérülékenységét is megnevezi, és négy lépést kér: a gyártói támogatásból kifutott eszközök cseréjét, a legfrissebb szoftvert, a gyári felhasználónév és jelszó cseréjét és az internet felől elérhető távoli kezelőfelület kikapcsolását. Ezek a lépések egy 5G-s routeren is ugyanúgy érvényesek, és a mobilinternetes eszközöknek van néhány saját beállítása is.
Melyik jelszavakat kell lecserélni?
- A kezelőfelület jelszava. A router kezelőfelületének gyári jelszavát első lépésként le kell cserélni, ahogy az amerikai kiberbiztonsági hatóság (CISA), a hazai Nemzeti Kibervédelmi Intézet (NKI) és az FBI is kéri. Az unióban 2025. augusztus 1. óta forgalomba hozott routereknél a gyártónak a jelszavas védelmet is meg kell oldania, mert a rádióberendezésekre vonatkozó harmonizált szabvány csak akkor igazolja a megfelelést, ha a felhasználó nem hagyhatja ki a jelszó beállítását. Egyes gyártók, például az AVM, gyárilag egyedi jelszót nyomtatnak a típuscímkére, ezt viszont bárki leolvassa, aki a routerhez hozzáfér.
- A wifi neve és jelszava. A CISA a gyári hálózatnév (SSID) cseréjét is az alaplépések közé sorolja. A wifi jelszava a hálózatba lépést védi, a kezelőfelületé a beállításokat, ezért a kettő ne legyen ugyanaz.
Hogyan marad naprakész a router szoftvere?
- Automatikus frissítés. Az NKI és a brit NCSC is az automatikus szoftverfrissítés bekapcsolását kéri, ha a router kínálja. Az 5G routeres útmutatónkban bemutatott modelleknél ez a gyártó kezelőfelületén vagy alkalmazásában állítható: a Huawei 5G CPE Pro 2-nél és társainál az Advanced → Updates alatt, a Netgear mobilroutereinél az ADVANCED → Administration → Router Update menüben, ahol a frissítés éjjel 1 és 4 óra között fut, a TP-Link Deco-családnál pedig a Deco alkalmazás More → System → Update Deco menüjében, amelyhez TP-Link-fiók kell. A kiberrezilienciáról szóló rendelet 2027. december 11-től előírja, hogy az új eszközökön az automatikus biztonsági frissítés alapból be legyen kapcsolva, egyszerű kikapcsolási lehetőséggel.
- A támogatás vége. A brit NCSC szerint a gyártói támogatás vége az eszköz lejárati dátuma, az FBI 2025-ös közleménye pedig azt írja, hogy a 2010-es vagy korábbi routerek valószínűleg már nem kapnak frissítést, és a támogatásból kifutott eszközt le kell cserélni. A kiberrezilienciáról szóló rendelet főszabályként legalább ötéves támogatási időszakot ír elő, és a gyártónak a támogatás végét már vásárláskor, legalább hónapra pontosan közölnie kell.
A routerek rendszeres újraindítását az FBI és társhatóságai 2024-es közös figyelmeztetése azzal indokolja, hogy egyes, csak a memóriában futó kártevőket ez eltávolítja. Ha a router gyanúsan viselkedik, a DNS-beállítást is meg kell nézni, mert a 2026 tavaszán leírt támadás épp azt írta át.
Melyik funkciót kell kikapcsolni, ha nincs rá szükség?
- Távoli kezelőfelület. A CISA és az FBI is a távoli kezelés kikapcsolását kéri, vagyis azt, hogy a router kezelőfelülete ne legyen elérhető az internet felől. A Teltonika mobilroutereinek dokumentációja szerint a távoli elérés bekapcsolása kiszolgáltatja az eszközt a külső támadóknak, ezért ott gyárilag ki is van kapcsolva.
- WPS. A gombnyomásos vagy PIN-kódos wifipárosítás (WPS) PIN-ellenőrzése a CERT/CC 2011-es leírása szerint külön jelzi, ha a nyolcjegyű kód első fele helyes, így a támadónak legfeljebb 11 ezer próbálkozás kell. Az NKI otthoni hálózatokról szóló jelentése a WPS kikapcsolását javasolja, mert a PIN akár percek alatt feltörhető.
- UPnP. Az automatikus porttovábbítás (UPnP) az NKI leírása szerint portot nyithat a routeren, és így kívülről is elérhetővé teheti a belső hálózatot. A CISA és az FBI szerint akkor kell kikapcsolni, ha nincs rá szükség.
Milyen titkosítás és hálózatbontás védi a wifit?
- WPA3. A Wi-Fi Alliance szerint 2020 óta minden újonnan tanúsított wifieszköznek támogatnia kell a WPA3-at, a 6 GHz-es sávban pedig a használata kötelező. A régebbi eszközökkel az átmeneti mód akadhat el, erre a szervezet két megoldást ad: külön hálózatot a régi eszközöknek saját jelszóval, vagy a WPA3-Personal kompatibilitási módot, amelyben a régi eszközök WPA2-vel csatlakoznak. Ahol WPA3 nincs, az NKI a WPA2-t AES titkosítással javasolja.
- Vendég- és okoseszköz-hálózat. Az NKI a vendégek és az okoseszközök külön hálózatra tételét javasolja, az FBI és társhatóságai pedig a hálózat szegmentálását. Így a kamera, az okoskonnektor vagy a vendég telefonja nem ugyanabban a hálózatban van, mint a számítógépek.
Mire kell figyelni a mobilinternetes routernél?
A mobilinternetes router a mobilhálózat felé is kiteheti a kezelőfelületét. Ha a SIM-kártya magánhálózati címet kap, és a szolgáltató címfordítást (CGNAT) használ, a router kívülről közvetlenül nem érhető el, ezt a nyilvános IP-címről szóló cikkünk írja le részletesen. Nyilvános IP-címnél viszont a távoli kezelőfelület valóban az internetre néz, ezért ott az 5. lépés nem halasztható.
- SIM PIN és SMS-parancsok. Egyes mobilrouterek SMS-ben érkező parancsra is végrehajtanak műveleteket. A Teltonika routereinél ilyen szabály indíthatja újra az eszközt, kapcsolhatja ki a mobiladatot, írhatja át a beállításokat vagy frissítheti a szoftvert, gyárilag minden szabály be van kapcsolva, és a hitelesítés jelszó nélküli is lehet. Ezeket a szabályokat jelszóhoz kell kötni vagy ki kell kapcsolni. A SIM-kártya PIN-kódja a routerben is beállítható, és a Teltonika leírása szerint a kód a gyári visszaállítás után is megmarad.
Ha a routert a szolgáltató adta, a háttérben távfelügyelet is futhat. A TR-069 szabvány szerint a szolgáltató felügyeleti szervere bármikor újrakonfigurálhatja az eszközt és frissítheti a szoftverét, vagyis a beállításokat a szolgáltató is módosíthatja. Hogy egy eszközön fut-e ilyen kapcsolat, a kezelőfelület TR-069-beállításából derül ki, a Teltonika routereinél ez gyárilag ki van kapcsolva.
Próbáld ki a korlátlan mobilnetet kötöttségek nélkül!
Adatkeret és lassítás nélkül, 14 napos pénzvisszafizetési garanciával, akár hűségidő nélkül.
Gyakori kérdések
Elég a router címkéjén lévő gyári jelszó?
Nem. Egyes gyártók gyárilag egyedi jelszót nyomtatnak a címkére, de azt bárki leolvassa, aki a routerhez hozzáfér. A CISA, az NKI és az FBI is a kezelőfelület gyári jelszavának cseréjét kéri, és ez a jelszó ne egyezzen a wifiével.
Kell foglalkozni a frissítéssel, ha a router automatikusan frissül?
Azt kell ellenőrizni, hogy az automatikus frissítés be van-e kapcsolva, és hogy a gyártó meddig ad még szoftvert. Az FBI szerint a támogatásból kifutott routert le kell cserélni.
Veszélyesebb a mobilinternetes router, mint a vezetékes?
Más a támadási felülete. Nyilvános IP-címnél a távoli kezelőfelület az internetre néz, és egyes mobilrouterek SMS-ben érkező parancsokat is végrehajtanak, ezeket jelszóhoz kell kötni vagy ki kell kapcsolni.
Miért kell kikapcsolni a WPS-t?
Mert a PIN-kódos párosítás ellenőrzése külön jelzi, ha a nyolcjegyű kód első fele helyes, így a CERT/CC leírása szerint a kód legfeljebb 11 ezer próbálkozásból kitalálható.
