O WiFi público não é seguro por predefinição. Ler notícias ou ver vídeos através de HTTPS é habitualmente de baixo risco. Aceder ao banco, pagar com cartão ou iniciar sessão em sistemas de trabalho numa rede que não consiga verificar acarreta mais riscos, a menos que adicione proteção.
O nome de uma rede WiFi é apenas um rótulo escolhido por quem configurou o ponto de acesso. A presença de um cadeado no seu browser significa que a ligação a esse website específico está encriptada, não que a rede WiFi seja fidedigna. E uma palavra-passe afixada no balcão de um café pode controlar o acesso à rede, mas não prova quem mais a pode utilizar nem a forma como a rede é gerida.
Uma investigação da Neighbourhood Watch concluiu que seis em cada dez britânicos utilizam regularmente redes WiFi públicas, e 28% ligam-se a redes desprotegidas mesmo sentindo-se vulneráveis. Trate a rede e o serviço online como entidades separadas: verifique o que o cadeado protege e decida se a atividade é adequada para uma ligação que não consegue verificar.
A resposta rápida sobre a segurança do WiFi público
O WiFi público não é seguro por predefinição. É perfeitamente adequado para ler, pesquisar e ver transmissões online, mas é o local errado para iniciar sessão em qualquer serviço que envolva dinheiro, identidade ou acessos de trabalho, a menos que adicione a sua própria proteção.
O motivo é de ordem estrutural e não dramático. Qualquer pessoa pode operar um ponto de acesso sem fios: o router do café, um telemóvel na mala de alguém, um computador portátil numa carrinha estacionada no exterior. O nome na sua lista de WiFi é um identificador introduzido pelo operador, pelo que um nome familiar e aparentemente legítimo nada prova sobre quem está do outro lado.
| Atividade | Risco em rede WiFi pública não verificada | Ação sensata |
|---|---|---|
| Ler notícias ou websites gerais | Baixo quando o site utiliza HTTPS | Aceitável |
| Pesquisar e ver vídeos em streaming | Baixo a moderado | Aceitável sem iniciar sessão |
| Início de sessão nas redes sociais | Moderado | Utilize a aplicação oficial com autenticação de dois fatores ou dados móveis |
| Email pessoal | Moderado a elevado | Utilize dados móveis ou uma VPN |
| Banca online | Elevado | Utilize dados móveis |
| Pagamentos com cartão e compras online | Elevado | Utilize dados móveis ou uma rede fidedigna |
| Sistemas de trabalho e acesso de administração | Muito elevado | Não utilize a menos que uma VPN gerida esteja sempre ligada |
O WiFi público é seguro? Para as duas primeiras linhas, em geral, sim. Para as três inferiores, não, e nenhum nível de precaução ao digitar mudará esse facto.
O comportamento ainda não acompanhou essa divisão. Um estudo que envolveu 16 000 agregados familiares no Reino Unido, divulgado em 2021 pela Neighbourhood Watch, revelou que seis em cada dez britânicos utilizavam regularmente o WiFi público. Entre os inquiridos, 28% ligaram-se a redes desprotegidas mesmo sentindo-se inseguros ou expostos, e outros 23% ignoraram conscientemente os riscos identificados por mera conveniência. O mesmo estudo concluiu que 67% acreditavam que todos os estabelecimentos deviam fornecer WiFi protegido por palavra-passe, o que demonstra até que ponto as pessoas encaram uma palavra-passe como um sinal de confiança em vez de uma configuração técnica.
Esse sinal é mais fraco do que parece, razão pela qual o resto deste guia mantém a rede e o serviço separados. Uma palavra-passe partilhada controla a admissão. Não comprova que o hotspot é genuíno e não encripta o seu tráfego de ponta a ponta.
A regra a reter para quando sai à rua: o WiFi público é perfeitamente adequado para ler, mas não serve para iniciar sessão em nada importante sem uma VPN ou dados móveis.
Como funcionam os ataques em redes WiFi públicas
Um passageiro aterra num aeroporto do Reino Unido, abre a lista de WiFi e seleciona a rede que aparenta ser a do próprio aeroporto. Surge uma página e, de seguida, um campo a solicitar um endereço de e-mail e uma palavra-passe para "ativar" a sessão. Dois minutos depois, a ligação está operacional. O passageiro lê o e-mail, consulta um saldo bancário e nada parece fora do normal.
O diagrama abaixo mostra onde ocorre a interceção numa rede que ninguém verificou.
Existem quatro mecanismos por detrás dessa experiência de aparência comum, e o viajante não vê nenhum deles.
O hotspot não autorizado. Um atacante gere um ponto de acesso com o nome convincente de um espaço. Os dispositivos com ligação automática ativada ligam-se diretamente a ele, e o operador desse hotspot passa a controlar o caminho percorrido pelo seu tráfego. As orientações do National Cyber Security Centre sobre a redução da superfície de ataque são claras quanto a isto: qualquer pessoa pode operar um ponto de acesso, pelo que o WiFi público não é seguro.
A janela do portal cativo. As redes públicas utilizam normalmente uma página de início de sessão, e o dispositivo comunica diretamente com um serviço local antes de qualquer VPN estar ativa. Isto deixa uma janela de exposição na qual a rede, ou outro utilizador nela presente, pode visar o dispositivo.
A página de recolha de dados. Alguns portais pedem mais do que o necessário. Um endereço de e-mail é uma coisa; uma palavra-passe, um número de cartão ou um início de sessão de conta numa página com um aspeto ligeiramente suspeito é phishing disfarçado de portal cativo.
O redirecionamento. Respostas DNS manipuladas podem encaminhar um pedido do endereço de um banco para um site semelhante. O HTTPS protege as aplicações configuradas corretamente, tal como define a mesma orientação do NCSC, mas não impede um portal falso, uma consulta manipulada, a exploração de software sem patches ou um observador de registar os sites que visita.
Encriptação e Autenticação Explicadas
Dois conceitos distintos são frequentemente agrupados sob a designação de "segurança WiFi", e a sua confusão é a origem da maioria das dúvidas. A encriptação é um envelope selado: ninguém no corredor consegue ler a carta que está lá dentro. A autenticação é a identificação do estafeta: indica quem está a transportar a entrega e se essa pessoa é realmente quem afirma ser.
Um cadeado oferece-lhe o primeiro sem o segundo. É por isso que um espaço pode operar uma rede perfeitamente encriptada e, mesmo assim, deixá-lo na dúvida sobre quem é o seu proprietário.
| Tipo de ligação | O que protege | O que não protege | Veredito |
|---|---|---|---|
| Rede aberta, sem palavra-passe | Nada na ligação de rede | Tudo o que é enviado através da ligação | Evitar para quaisquer dados confidenciais |
| Rede protegida por WEP | Encriptação legada fraca que pode ser quebrada | Praticamente tudo | Evitar |
| WPA2-Personal com palavra-passe partilhada | Encripta o tráfego de pessoas externas | Outras pessoas que conheçam a frase de acesso; comprovação de quem gere o hotspot | Apenas para navegação de baixo risco |
| WPA2 ou WPA3 Enterprise, ou Passpoint | Autenticação e encriptação por utilizador | Depende da configuração do operador e das suas verificações de certificados | Melhor; verifique a identidade da rede |
| HTTPS num website ou aplicação | Encripta os dados entre o utilizador e esse serviço | Portais falsos, manipulações de DNS, comprometimento do dispositivo, nomes de sites visíveis | Essencial, mas não suficiente por si só |
| VPN para um endpoint fidedigno | Encripta todo o túnel para além da rede local | Comprometimento do dispositivo; confiança depositada no fornecedor da VPN | Robusto para utilizações confidenciais |
O que o cadeado realmente comprova
O cadeado responde exatamente a uma pergunta: esta conversa é privada entre o meu navegador e o servidor identificado no respetivo certificado? Trata-se de algo muito importante e é por isso que a maior parte da navegação do dia a dia numa rede desconhecida decorre sem problemas. Não diz nada sobre a rede subjacente e não indica se o site a que acedeu é aquele a que pretendia aceder.
O guia para pequenas empresas do NCSC torna evidente a lacuna de autenticação: os utilizadores não conseguem determinar facilmente quem controla um hotspot nem provar que este pertence ao hotel, café ou espaço previsto. Uma rede "evil twin" constitui, por isso, um problema diferente de uma encriptação fraca, uma vez que o atacante controla o percurso em vez de se limitar a intercetar as comunicações.
Um cadeado comprova que a conversa com um serviço é privada. Não diz nada sobre a rede que a transmite.
Onde o WPA2, o WPA3 e o Passpoint diferem
O WPA3 é mais robusto do que o WPA2 nos casos em que os dispositivos o suportam, e as credenciais individuais do WPA-Enterprise ou do Passpoint alteram ainda mais o panorama, pois é possível revogar uma única conta e verificar a identidade da rede. Para compreender o funcionamento prático destes inícios de sessão individuais em hardware real, o nosso guia sobre autenticação WPA Enterprise abrange a respetiva configuração.
A dificuldade para os visitantes reside na visibilidade. Geralmente, não é possível ver o modo em que o espaço opera, razão pela qual a coluna de classificação acima é mais relevante do que o nome do protocolo. Um espaço que forneça credenciais individuais em vez de uma palavra-passe partilhada vai muito além de qualquer aviso afixado na parede.
Onde surgem os riscos do WiFi público na prática
Imagine que um passageiro para para tomar um café antes do comboio das 08:10, vê uma rede com o nome da cadeia e liga-se sem pensar. O mesmo acontece em receções de hotéis, esplanadas de pubs, portas de embarque em aeroportos e salas de espera de hospitais. O nome do local transmite uma sensação de garantia, e quase ninguém atrás do balcão sabe explicar o que protege a ligação.
Esse hábito reflete-se claramente nos números. Uma sondagem da YouGov de 2012 junto de adultos no Reino Unido que utilizavam WiFi público revelou que 56% não verificavam, ou raramente verificavam, se uma rede estava encriptada antes de se ligarem. As atividades de risco eram frequentes: 45% acederam ao e-mail, 37% entraram no Facebook, 14% utilizaram o banco online e 15% introduziram dados do cartão de crédito ou de débito numa rede pública.
| Fonte | Métrica | Resultado |
|---|---|---|
| YouGov, 2012 | Não verificou ou raramente verificou a encriptação antes de se ligar | 56% |
| YouGov, 2012 | Iniciou sessão no email através de rede pública WiFi | 45% |
| YouGov, 2012 | Acedeu ao Facebook através de rede pública WiFi | 37% |
| YouGov, 2012 | Utilizou a banca online através de rede pública WiFi | 14% |
| YouGov, 2012 | Introduziu dados do cartão através de rede pública WiFi | 15% |
| Norton, 2024 | Iniciou sessão no email pessoal através de rede pública WiFi | 64% |
Considere a sondagem de 2012 como um padrão e não como uma taxa atual, uma vez que tem mais de uma década. O padrão manteve-se. Em 2024, 64% dos utilizadores do Reino Unido inquiridos afirmaram iniciar sessão em contas de e-mail pessoais através de redes WiFi públicas, segundo uma investigação da Norton divulgada pelo Focus on Travel News. O comportamento quase não se alterou, enquanto o número de locais aumentou significativamente.
Parte do motivo é o facto de ninguém explicar a configuração no ponto de utilização. Para a maioria dos visitantes, o portal cativo é a única mensagem de segurança que um local apresenta, solicitando habitualmente um endereço de e-mail sem mencionar uma única palavra sobre encriptação ou identidade.
Os momentos de maior risco são aqueles que parecem rotineiros: verificar um saldo durante uma pausa para café, aprovar um pedido de início de sessão numa conta profissional, comprar um bilhete de comboio com um cartão guardado. Decida antecipadamente quais as atividades que irá realizar na rede de outra pessoa, e a rotina deixará de ser uma decisão de momento.
Decida e proteja-se em redes WiFi públicas
Comece pela regra de decisão e tudo o resto se seguirá. Numa rede que não consiga verificar, utilize dados móveis ou uma VPN para tudo o que envolva dinheiro, identidade, sistemas de trabalho ou alterações de conta. Ler páginas HTTPS públicas é seguro. O início de sessão é onde as pessoas são apanhadas.
O infográfico abaixo reduz isso a três passos.
Os sete passos, com a respetiva justificação
- Confirme o nome exato da rede junto dos funcionários. Os hotspots não autorizados copiam os nomes dos locais, pelo que deve perguntar ao balcão e ignorar duplicados ou nomes que diferem em apenas um carácter do oficial.
- Desative a ligação automática e a partilha de ficheiros e, em seguida, elimine a rede. Um dispositivo que memoriza uma rede irá ligar-se prontamente a uma imitação na sua próxima visita.
- Transfira dinheiro através de dados móveis. As operações bancárias, os pagamentos com cartão e as consolas de administração são as áreas onde um atacante intermediário obtém mais vantagens, e a partilha de ligação pelo telemóvel custa menos do que uma conta comprometida.
- Verifique se existe HTTPS antes de introduzir qualquer informação e nunca ignore um aviso de certificado. O aviso surge porque o certificado não corresponde ao site que solicitou, sendo esse o momento exato para parar.
- Interrompa a navegação perante qualquer portal que solicite uma palavra-passe, o número do cartão ou as credenciais de acesso a uma conta. Um portal cativo precisa, no máximo, de um endereço de e-mail. Tudo o que vá além disso é recolha de dados ou phishing.
- Ative uma VPN fiável antes de iniciar sessão e mantenha-a sempre ativa sempre que o dispositivo o permitir, garantindo que o túnel existe antes do envio da primeira credencial.
- Atualize o sistema operativo, o browser e as aplicações, e ative a autenticação de dois fatores para o e-mail e operações bancárias. O software sem correções é a via de acesso mais fiável a um dispositivo numa rede partilhada.
Se a resposta mais simples for evitar totalmente o WiFi do local, convém saber quanto isso custa quando viaja. Esta comparação entre opções de WiFi de bolso e eSIM apresenta as vantagens e desvantagens entre um dispositivo em separado e um plano de dados no seu próprio telemóvel.
A verificação a fazer antes de fechar o portátil
Termine a sessão em tudo o que abriu, limpe as sessões guardadas no navegador e confirme nas definições de WiFi que a rede já não se liga de forma automática. Se tiver utilizado um portal que solicitou dados pessoais, tome nota de quais forneceu. Esse hábito transforma uma decisão pontual numa definição que o seu dispositivo continuará a aplicar.
Proteger espaços e locais de trabalho contra os riscos do WiFi público
Uma palavra-passe de WiFi afixada é um bilhete de entrada, não um documento de identidade. Determina quem passa a porta e deixa de ter qualquer utilidade. As orientações do governo do Reino Unido sobre a partilha de redes sem fios no local de trabalho explicam com precisão o motivo: WPA2-Personal com uma chave pré-partilhada comum não oferece segurança adicional entre clientes assim que a frase-passe é conhecida, dado que os utilizadores conseguem derivar as chaves individuais de encriptação dos clientes.
Num hotel, numa clínica, num escritório partilhado ou numa residência de estudantes, isso significa que um hóspede ou utilizador pode aceder a outro. Um café com oito clientes é uma versão ligeira do problema. Um edifício residencial com 300 residentes numa única rede SSID é o mesmo problema em grande escala.
O que alterar na rede do espaço
- Separe as redes de convidados, colaboradores e inquilinos. O isolamento restringe o que um computador portátil comprometido pode alcançar, o que é precisamente o objetivo de gerir mais do que um SSID.
- Ative o isolamento de clientes e bloqueie o acesso lateral. As regras de firewall e as políticas de segmentação ou de privilégio mínimo em VLAN impedem o tráfego entre convidados sem depender do bom comportamento de ninguém.
- Utilize WPA2 ou WPA3 baseado em AES com chaves longas e geradas aleatoriamente, e mantenha cada SSID num único nível de segurança para que os dispositivos negociem de forma consistente.
- Divulgue o SSID exato e como verificá-lo, e monitorize para detetar pontos de acesso não autorizados a personificar o espaço.
- Substitua a palavra-passe partilhada por acesso baseado na identidade, para que cada pessoa ou dispositivo se autentique individualmente e o acesso possa ser revogado logo que cesse as funções.
É nesse último ponto que o WiFi baseado em identidade prova o seu valor. O nosso WiFi para colaboradores integra os dispositivos dos funcionários com certificados EAP-TLS geridos, pelo que não há palavras-passe partilhadas para renovar, e cada autenticação é registada com utilizador, dispositivo, hora e localização. Funciona nos pontos de acesso que o espaço já possui, e o hardware suportado inclui Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Para o conjunto mais alargado de controlos relativos a segmentação e monitorização, o nosso guia de segurança de WiFi empresarial detalha toda a arquitetura.
Três ações para esta semana
- Reveja os seus próprios hábitos de ligação em função da tabela de riscos e anote que inícios de sessão efetuou na rede de terceiros no último mês.
- Confirme se as redes de convidados e de colaboradores estão isoladas, e não apenas como dois nomes na mesma sub-rede simples a partilhar uma única palavra-passe.
- Pergunte ao seu fornecedor de rede qual é o método de autenticação utilizado nos dispositivos dos colaboradores e se os acessos individuais podem ser revogados em questão de minutos, em vez de apenas na próxima alteração de palavra-passe.
Purple substitui as palavras-passe partilhadas por WiFi baseado em identidade: os convidados autenticam-se uma única vez por e-mail e obtêm conectividade encriptada logo a partir do primeiro pacote, inclusive em visitas futuras, enquanto os dispositivos dos colaboradores se ligam com certificados associados ao Entra ID, Google Workspace ou Okta. Se gere um hotel, uma clínica, um centro comercial ou um edifício residencial e ainda imprime uma única palavra-passe na parede para todos, esse é o controlo que vale a pena mudar a seguir. Visite Purple para ver como as redes de convidados, colaboradores e multi-inquilino são configuradas nos pontos de acesso que já possui.
