商戶免費 Wi-Fi 點開先安全：收銀網絡分網、訪客網絡、登入頁與私隱
免費 Wi-Fi 係待客工具，亦係網絡缺口
根據南區區議會文件引述數字政策辦公室回覆的二手整理數字，截至 2025 年 5 月，「Wi-Fi.HK」品牌熱點數目約為 42,000 個，分佈於全港 18 區，現時熱點平均速度約為每秒 70 兆比特。公眾免費 Wi-Fi 已經好普及，顧客入到鋪頭，自然會問有無 Wi-Fi 用。
根據香港電腦保安事故協調中心《使用無線區域網絡安全指引》（2012 年），無線網絡最大弱點是缺乏實體保安。同一指引指出，同有線網絡不同，入侵者唔需要進入處所就可以連接無線網絡，而且難以追蹤任何時候有邊個連接緊。商戶開免費 Wi-Fi，即係將呢個缺口帶入自己鋪頭。
根據同一指引，入侵者連接商戶無線網絡的後果包括網絡資源被濫用、因網絡竊聽導致資料外洩、惡意軟件感染、系統被滲透後保密性完整性可用性受損，以及入侵者利用商戶網絡對外發動攻擊並將法律責任轉嫁商戶。根據政府資訊保安網站〈使用公共 Wi-Fi 的保安貼士〉，公共 Wi-Fi 的潛在保安風險亦包括經 Wi-Fi 通訊傳送的訊息可能被截取、流動裝置不經意連接至黑客裝設或已被黑客入侵的 Wi-Fi 網絡，以及用戶按下連接至欺詐或附有惡意程式網站的連結，導致帳戶、個人資料外泄或裝置感染惡意軟件。
先搞清身份：牌照登記點分
根據通訊事務管理局辦公室《根據類別牌照營辦公眾無線區域網絡服務指引》（GN-14/2021，2021 年版本），《提供公眾無線區域網絡服務類別牌照》於 2003 年 2 月設立，容許在私人處所提供公眾無線區域網絡服務。同一指引指出，如某人使用符合類別牌照技術準則的無線電通訊器具提供公眾無線區域網絡服務，即成為類別牌持牌人，並須向通訊事務管理局登記。所指「人」可以是自然人或任何法人或非法人團體。
根據同一指引，有意根據類別牌照提供公眾無線區域網絡服務的人，須在提供服務之前向通訊事務管理局登記，而目前通訊事務管理局不打算徵收登記費或牌照費，但會不時檢討。同一指引列明，登記須提供的資料包括類別牌持牌人名稱、商業登記證號碼或同等編號、聯絡資料、公眾無線區域網絡的位置，以及類別牌照下准許使用的所有頻帶，其中持牌人名稱須與商業登記證或同等文件上所示相同。根據同一指引，通訊事務管理局辦公室在收到全部所需資料後，會在 14 個工作天內以電郵發出登記結果。持牌人須在更改生效之前向通訊事務管理局更新登記資料，停止提供服務後須在 1 個月內以電郵通知通訊事務管理局。同一指引亦列明，持牌人須公布收費，並且收費不得高於已公布的收費。
根據同一指引，有三條分界要分清。第一，如果咖啡店東主或物業擁有人或租戶只是提供處所予無線區域網絡營辦商提供服務，會被視為並非提供公眾無線區域網絡服務，毋須根據類別牌照向通訊事務管理局登記。第二，類別牌照只規管「公眾」無線區域網絡服務，如某人在家中、辦公室或學校校園內建立無線區域網絡作私人使用，毋須領取電訊牌照。第三，在私人處所提供公眾 Wi-Fi 服務如不跨越公眾街道或未批租政府土地，屬類別牌照範圍；在未批租政府土地或公眾街道上或跨越該等地方提供公眾 Wi-Fi 服務，則需要通訊事務管理局發出的統一載體牌照。至於統一載體牌照的申請程序，商戶如有需要，應直接向通訊事務管理局辦公室查詢。
三網分流：收銀、員工、訪客各行各路
根據香港電腦保安事故協調中心《使用無線區域網絡安全指引》（2012 年），應將無線網絡視作不受信任網絡，將無線流量分隔在獨立網絡，並在有線基礎設施同無線網絡之間安裝配置妥當的防火牆，管理進入內部網絡或服務網絡的流量。同一指引指出，如同時為員工同訪客提供無線區域網絡，應將兩個無線網絡分開，企業應為訪客用戶指派獨立的無線區域網絡及服務設定識別碼（SSID）。同一指引亦指出，應限制無線區域網絡提供的服務，尤其訪客無線區域網絡，並實施存取控制及服務質素控制，禁止不獲准許的流量或不必要的頻寬過度使用。
「三網分流」屬於實務建議，並非官方指引原文的字眼。做法是將收銀或營運網絡、員工網絡、顧客訪客網絡三者分開，對應上面提到的「員工同訪客分開」及「無線流量分隔」兩項指引。收銀系統同顧客手機唔應該企喺同一個網絡，分網可減低訪客網絡事故直接影響收銀系統的機會。有關收卡保安的詳細要求，另見本網站有關 PCI DSS 的文章。
收銀網絡獨立之後，收銀系統本身只做付款方式記錄與分類對數，收款經獨立渠道，唔會因為接咗訪客 Wi-Fi 而改變收款方式。以 POSKing 網站主頁公布的套裝價錢為例（2026-10-17 查閱），POS 系統＋收銀鏡頭套裝為 HK$4,950，買斷免月費，其他硬件與設定需報價。商戶部署之前，應先同供應商確認分網設定點配合現有收銀設備。
路由器同接入點基本設定
根據香港電腦保安事故協調中心《使用無線區域網絡安全指引》（2012 年），唔好使用 WEP 及採用 TKIP 的 WPA，呢啲演算法已被破解，應使用採用 AES 加密的 WPA2。根據政府資訊保安網站現行建議，應採用現行的 Wi-Fi 通訊加密標準，並避免使用有潛在保安漏洞的 WEP 及 WPA 加密標準。商戶設定時，應以政府資訊保安網站現行建議為準，再參考 2012 年指引的細節，唔好將 2012 年文件當成最新技術清單。
根據香港電腦保安事故協調中心《使用無線區域網絡安全指引》（2012 年），如使用預先共用密鑰方式的 WPA 或 WPA2 加密，應設定最少 20 個字元、包含字母及數字混合的強密碼，並應定期更換 WPA2 加密密鑰。同一指引指出，應更改接入點管理介面的預設管理員名稱及密碼，更改預設 SSID，新 SSID 唔好同任何個人或公司資料有關，如可能，關閉 SSID 廣播。
根據同一指引，Wi-Fi 保護設定（WPS）容易受暴力破解攻擊，一旦 WPS PIN 被入侵者發現，入侵者可以控制無線接入點，強烈建議升級韌體以緩解此漏洞或停用此功能。同一指引指出，部分接入點產品有內置功能可隔離無線用戶端之間通訊，應啟用此功能以加強無線用戶端保安。同一指引亦指出，應啟用接入點記錄功能，並將記錄項目轉發至遙距記錄伺服器，應停用無線用戶端裝置的 Ad-hoc 模式，接入點應連接網絡交換器而非集線器，以避免通訊被竊聽。同一指引的企業附加清單亦要求，唔好容許員工自行架設接入點，應定明邊啲資料唔准經無線網絡傳送，應備存所有無線裝置的準確清單，並定明報告無線裝置遺失的程序。
登入頁點設計：唔好亂收個人資料
根據私隱專員公署《保障資料原則》相關指引，個人資料只可在合法及公平的情況下收集，收集目的須直接同資料使用者的職能或活動有關，收集的資料須是切實需要、足夠但不超乎適度，資料使用者須採取所有切實可行的步驟通知資料當事人收集目的等事項。根據私隱專員公署回覆傳媒查詢的說法，資料使用者應適時向資料當事人發出簡潔通知，說明將收集咩個人資料及收集目的，收集的資料須是切實需要且不超乎適度，資料使用者的政策及實務須公開。
根據私隱專員公署指引文件，收集個人資料時，須向資料當事人提供以下資料：資料將用作的用途、可獲轉移資料的人士的類別、提供資料是強制性抑或自願性、未能提供資料的後果、資料當事人有權要求查閱及更正資料。登入頁上的收集個人資料聲明，應覆蓋以上各項，單憑一句籠統說明並不足夠。
根據私隱專員公署指引文件，個人資料保存時間不得超過達致收集目的所需時間，資料使用者須採取切實可行步驟保障個人資料免受未經授權或意外查閱、處理、刪除、遺失或使用。以下屬於實務建議，並非官方條文原文：登入頁如要求顧客提供電話號碼，商戶應先用上面原則檢視，電話號碼是否切實需要，如只為防止濫用而收集，是否有更少侵犯私隱的方法。如將登入時收集的資料用於直接促銷，須另外符合直接促銷規則，詳見本網站有關直接促銷的文章。
顧客角度的風險：假 Wi-Fi、假登入頁
根據政府資訊保安網站〈使用公共 Wi-Fi 的保安貼士〉，使用公共 Wi-Fi 時應小心核實所選用網絡的 SSID，唔好使用來歷不明或可疑的 Wi-Fi 網絡，應停用流動裝置的自動連接功能，不使用 Wi-Fi 時關閉裝置的 Wi-Fi 連接。同一貼士指出，連接公共 Wi-Fi 時應避免使用電子服務處理個人或敏感資料，如有需要，應採取適當加密連接，例如 HTTPS 或虛擬私有網絡。同一貼士亦提醒，應避免按下可疑網頁上的任何連結。
根據同一貼士，連接公共熱點時，用戶會先被導向至登入頁，攻擊者亦可以設立虛假登入頁收集用戶個人資料，用戶應先檢查登入頁網站的伺服器證書以確定網站真確性。根據香港電腦保安事故協調中心《使用無線區域網絡安全指引》（2012 年），應將使用完的公共 Wi-Fi 接入點從「慣用網絡」清單中移除，因為攻擊者可以設立假冒接入點，模仿用戶慣用網絡清單上的 Wi-Fi 網絡，令電腦或裝置自動連接至假冒網絡。
以下屬於實務建議，並非官方條文原文：商戶可以在店內清楚展示正確 SSID、登入頁外觀，以及「本店唔會在 Wi-Fi 登入頁要求輸入銀行資料或密碼」等提示，減低顧客受騙機會。顧客如果喺登入頁見到要求輸入銀行資料或密碼的要求，應該停低，唔好繼續輸入，並向店員查詢。
日常維運：更新、記錄、唔好私自加設備
根據香港電腦保安事故協調中心《使用無線區域網絡安全指引》（2012 年），選擇無線區域網絡方案時，應確保接入點及無線網卡可以更新韌體，並應定期更新無線裝置韌體。同一指引指出，應定期進行無線漏洞評估，檢查保安政策執行情況、未知無線裝置或因錯誤配置或裝置漏洞引致的安全威脅。
根據政府資訊保安網站〈使用公共 Wi-Fi 的保安貼士〉，棄置無線裝置前，應刪除所有敏感配置資料，例如 SSID 或密碼匙。同一貼士指出，唔好同時啟動無線及有線網絡介面卡，當無線網絡介面卡未關閉而裝置連接有線網絡時，攻擊者可利用已啟動的網絡橋路，經開放的無線網絡入侵有線網絡。收銀電腦尤其要留意呢一點，唔好同時接 Wi-Fi 同有線網絡造成橋接。同一貼士亦指出，應關閉無線介面卡的資源共用規約，使用公共無線服務時刪除「慣用網絡」。
根據香港電腦保安事故協調中心《使用無線區域網絡安全指引》（2012 年）的企業附加清單，應定明邊啲資料唔准經無線網絡傳送，應備存所有無線裝置的準確清單，並定明報告無線裝置遺失的程序。商戶可以將呢啲要求寫入員工守則，等每個員工都清楚，邊啲事可以做，邊啲事要先問過負責人。
開業前檢查清單：由登記到測試一次過對清
開業之前，商戶可以按以下次序對清：先確認身份與登記，搞清自己係自行架設俾公眾用，定只係借出場地俾營辦商，再按通訊事務管理局辦公室 GN-14/2021（2021 年版本）辦理登記與更新安排。然後落實三網分流，將收銀或營運網絡、員工網絡、顧客訪客網絡分開，訪客網絡指派獨立 SSID。再檢查基本設定，包括加密標準、強密碼、更改預設管理員名稱及密碼、關閉 SSID 廣播、停用 WPS、啟用用戶端隔離同記錄功能。
之後檢查登入頁，確認收集個人資料聲明覆蓋用途、轉移對象類別、自願或強制、未能提供資料的後果，以及查閱及更正權利，收集的資料切實需要且不超乎適度。再檢查顧客提示，確認店內清楚展示正確 SSID、登入頁外觀，以及唔會在 Wi-Fi 登入頁要求輸入銀行資料或密碼的提示。最後確認維運安排，包括定期更新韌體、定期進行無線漏洞評估、棄置設備前刪除設定，以及員工守則入面有齊資料傳送限制、裝置清單同遺失報告程序。
本篇引用的指引，以查閱時可見的公開版本為準。香港電腦保安事故協調中心指引為 2012 年文件，商戶應以政府資訊保安網站現行建議作配對，唔好將 2012 年文件當成最新技術清單。通訊事務管理局辦公室指引 GN-14/2021 為 2021 年版本，採用前應向通訊事務管理局辦公室確認之後有無更新版本。如對私隱或牌照安排有疑問，應向專業人士查詢。
免費 Wi-Fi 開之前，先分網、先登記、先寫好收集聲明；收銀網絡獨立，訪客網絡隔離，登入頁只收集切實需要的資料。
