O Wi-Fi público é seguro? Os riscos reais de hoje e como se proteger

É seguro usar Wi-Fi público?

Para a maior parte do uso cotidiano, sim. A Federal Trade Commission (FTC) dos EUA diz que o Wi-Fi público costumava ser arriscado porque a maioria dos sites não criptografava os dados, de modo que atacantes na mesma rede podiam interceptá-los; agora que a maioria dos sites usa criptografia, conectar-se por uma rede Wi-Fi pública costuma ser seguro ^[1]. A criptografia embaralha os dados entre o seu dispositivo e o site, para que outras pessoas na rede não consigam lê-los.

A Electronic Frontier Foundation (EFF), entidade de defesa dos direitos digitais, chega à mesma conclusão: usar VPN no Wi-Fi público de cafeterias ou aeroportos costumava ser uma recomendação padrão, mas isso já não é tão necessário para todos, porque a maior parte do tráfego da web hoje é criptografada com HTTPS ^[2].

Para verificar uma conexão no navegador, a FTC diz para procurar o símbolo de cadeado ou “https” à esquerda do endereço do site, inclusive nos navegadores de celular ^[1]. Os apps são mais difíceis de verificar, mas a FTC diz que a maioria usa criptografia ^[1].

Então, o que ainda é arriscado?

A criptografia protege os dados em trânsito, não o seu discernimento. Os riscos que permanecem são redes falsas, informações que a criptografia não esconde, dispositivos que compartilham arquivos ou estão desatualizados e sites falsos que também usam criptografia ^[1][2][3]. As seções a seguir explicam cada um deles.

O que outras pessoas conseguem ver em uma rede Wi-Fi pública?

O HTTPS protege o conteúdo das comunicações, não os metadados ^[2]. Segundo a EFF, quando você visita sites HTTPS, quem está no caminho geralmente consegue ver os nomes de domínio, por exemplo wikipedia.org, e quando você os visita, além do tamanho das páginas e dos arquivos que você carrega ou envia ^[2]. Essas pessoas não conseguem ver as páginas específicas desses sites, seu nome de login nem as mensagens que você envia ^[2].

No Wi-Fi público, pessoas dentro do alcance da rede podem decidir escutar e ver esses mesmos metadados, assim como seu provedor de internet poderia em casa ^[2]. A visão da EFF é que, se esse risco for aceitável para você, não há por que se preocupar em usar Wi-Fi público ^[2].

O operador da rede também pode ver o endereço de hardware do seu dispositivo, conhecido como endereço MAC (Media Access Control). A Apple explica que um dispositivo que usa sempre o mesmo endereço MAC de Wi-Fi permite que operadores de rede e observadores associem esse endereço à atividade e à localização do aparelho ao longo do tempo ^[8]. Por isso, os dispositivos Apple usam um endereço de Wi-Fi privado diferente em cada rede e podem alterná-lo ^[8], e o Android 10 e versões posteriores usam por padrão um endereço MAC aleatório ^[9].

O que é um ataque de Wi-Fi evil twin?

Em um ataque evil twin, descrito pela Cybersecurity and Infrastructure Security Agency (CISA) dos EUA, o atacante reúne informações sobre um ponto de acesso público e configura o próprio sistema para se passar por ele, usando um sinal de transmissão mais forte para que usuários desavisados se conectem ao falso ^[3]. Como o tráfego de internet da vítima passa então pelo sistema do atacante, ele pode usar ferramentas especializadas para ler os dados que a vítima envia, o que pode incluir números de cartão, nomes de usuário e senhas ^[3].

A orientação da CISA é sempre confirmar o nome e a senha de um hotspot público antes de usá-lo, para se conectar a um ponto de acesso confiável ^[3]. O HTTPS ainda limita o que um evil twin consegue ler em sites devidamente criptografados ^[1][2]. O perigo que resta é ser levado a um site falso, e a FTC alerta que golpistas criam sites falsos e os criptografam para parecerem seguros: seus dados podem estar criptografados no caminho, mas não estarão a salvo dos golpistas que operam o site ^[1].

Alguém na mesma rede pode redirecionar meu tráfego?

Sim, em alguns casos. A técnica TunnelVision, de 2024 (CVE-2024-3661), mostrou que um atacante na mesma rede local pode usar um recurso do DHCP, o protocolo que distribui as configurações de rede, para ler, interromper ou possivelmente modificar o tráfego que deveria estar protegido por uma VPN ^[7]. Os pesquisadores que a descobriram concluíram que as VPNs não foram projetadas para mitigar ataques à rede local física ^[10].

Redes abertas são mais arriscadas que redes com senha?

A CISA observa que muitos pontos de acesso públicos não são protegidos e o tráfego que transportam não é criptografado, de modo que dados enviados “às claras” podem ser capturados com ferramentas de sniffing; ela recomenda usar pontos de acesso com pelo menos criptografia WPA2 ^[3]. WPA2 e WPA3 são protocolos de segurança de Wi-Fi que criptografam o tráfego entre o seu dispositivo e o ponto de acesso ^[3].

Uma senha compartilhada exibida na parede de um café não torna uma rede privada, porque todos que a conhecem podem entrar; padrões de Wi-Fi mais novos tratam parte desse risco. A Wi-Fi Alliance, entidade do setor que certifica produtos Wi-Fi, diz que o WPA3 é obrigatório para dispositivos Wi-Fi CERTIFIED e dá aos usuários do WPA3-Personal mais proteção contra tentativas de adivinhar a senha ^[4]. Ela também oferece o Wi-Fi Enhanced Open, que fornece criptografia de dados sem autenticação em redes abertas, uma melhoria em relação às redes abertas tradicionais, sem nenhuma proteção, e foi projetado para interoperar com redes antigas, mesmo as que usam um portal cativo (a página de login que muitos hotspots exibem) ^[4].

A criptografia do Wi-Fi é uma camada extra útil, mas é a própria criptografia HTTPS dos sites que protege seus dados até o destino ^[1][6].

O próprio Wi-Fi pode ser hackeado?

Sim, e o histórico mostra por que as atualizações importam. Em 2017, o pesquisador Mathy Vanhoef divulgou o KRACK (key reinstallation attacks), fraquezas graves do WPA2 que permitiam a um atacante dentro do alcance ler informações que se supunham criptografadas com segurança e, dependendo da configuração, injetar dados ^[5]. Para evitar o ataque, os usuários precisavam atualizar os produtos afetados assim que as atualizações de segurança fossem disponibilizadas ^[5].

Em maio de 2021, Vanhoef divulgou o FragAttacks, um conjunto de vulnerabilidades que afetava todos os protocolos modernos de segurança de Wi-Fi, incluindo o WPA3, e até o WEP original ^[6]. Três eram falhas de projeto do padrão Wi-Fi, mas difíceis de explorar, porque exigem interação do usuário ou configurações incomuns; vários erros de programação em produtos Wi-Fi eram a preocupação maior, porque alguns eram triviais de explorar ^[6]. As atualizações foram preparadas durante uma divulgação coordenada de 9 meses, supervisionada pela Wi-Fi Alliance e pelo ICASI ^[6].

Vanhoef observou que, quando um site usa HSTS, uma configuração que força o HTTPS, os dados transmitidos não podiam ser roubados por meio dessas falhas, e que os apps móveis recentes usam HTTPS por padrão ^[6]. Em outras palavras, a criptografia em camadas é o motivo pelo qual uma falha no Wi-Fi não expõe tudo automaticamente.

Como se manter seguro no Wi-Fi público?

1. Confirme o nome da rede. Pergunte aos funcionários o nome exato do hotspot e a senha antes de se conectar, para evitar evil twins ^[3].
2. Verifique o HTTPS. Procure o símbolo de cadeado ou “https” antes de digitar qualquer informação sensível ^[1].
3. Desative o compartilhamento de arquivos. A CISA diz que uma rede pública desprotegida combinada com compartilhamento de arquivos pode permitir que um usuário mal-intencionado alcance arquivos que você compartilhou por engano; permita o compartilhamento apenas em redes domésticas conhecidas ^[3].
4. Mantenha o software atualizado. Atualize o software de segurança, o sistema operacional e o navegador, e ative as atualizações automáticas no celular ^[1].
5. Use senhas fortes e autenticação de dois fatores. A FTC recomenda as duas coisas, para que uma senha roubada, sozinha, não baste ^[1].
6. Deixe os endereços de Wi-Fi privados ativados. A Apple recomenda manter os endereços privados ativados em todas as redes compatíveis ^[8].
7. Observe o ambiente ao redor. A CISA alerta que as pessoas podem simplesmente olhar por cima do seu ombro enquanto você digita ^[3].

Você precisa de VPN no Wi-Fi público?

Não necessariamente. A EFF diz que uma VPN bem configurada pode proteger o tráfego não criptografado e poderia esconder seus metadados de alguém escutando na rede local, mas o próprio provedor da VPN passaria a ver tudo ^[2]. Ela sugere que uma VPN pode ser útil quando você precisa usar uma rede pública em que não confia, sem saber quem a administra, e tem uma VPN em que confia ^[2].

• Benefício: esconde quais sites você visita das pessoas no mesmo Wi-Fi ^[2].
• Custo: transfere essa visibilidade para a empresa de VPN, que pode registrar ou vender dados se sua política permitir ^[2].
• Limite: uma VPN desatualizada pode não proteger bem você; a EFF cita a TunnelVision como exemplo ^[2], e nos testes a VPN continuava informando que estava conectada enquanto o tráfego vazava ^[10].

Também há obstáculos práticos: o National Cyber Security Centre do Reino Unido observa que algumas redes de terceiros restringem ou bloqueiam o tráfego de VPN IPsec, e que forçar todo o tráfego por uma VPN pode entrar em conflito com os portais cativos do Wi-Fi público ^[11]. Outra opção, como precaução geral, são os dados móveis do seu próprio celular quando você não confia em um hotspot, porque assim você evita compartilhar uma rede local com estranhos.