Trappole Wi-Fi evil twin in viaggio: hotspot falsi, portali captive e una condanna australiana
Ogni aeroporto, hotel e cabina di aereo ha oggi la sua consueta rete gratuita, e la maggior parte dei viaggiatori si collega senza pensarci due volte. Un punto di accesso evil twin sfrutta proprio quell'abitudine: è un hotspot falso che prende in prestito il nome di una rete legittima. I dispositivi che si sono connessi in passato alla rete vera possono ricollegarsi automaticamente a quella falsa, e i nuovi arrivati non notano la differenza, perché il nome di una rete Wi-Fi non prova alcuna identità.
Dall'imputazione alla condanna
L'illustrazione più chiara e recente arriva dall'Australia. Nell'aprile 2024 una compagnia aerea ha segnalato alla polizia federale australiana (AFP) una rete sospetta che imitava il suo Wi-Fi legittimo durante un volo nazionale. Il 19 aprile 2024 gli investigatori hanno perquisito il bagaglio a mano di un passeggero all'aeroporto di Perth, sequestrando un punto di accesso wireless portatile, un laptop e un telefono. Il 28 giugno 2024 l'AFP ha incriminato l'uomo, 42enne dell'Australia Occidentale, per nove reati: avrebbe allestito reti false negli aeroporti di Perth, Melbourne e Adelaide, su voli nazionali e in altri luoghi, che mostravano una pagina che chiedeva ai viaggiatori di accedere con un account di posta o dei social; le credenziali inserite finivano salvate sui suoi dispositivi (AFP)."Per collegarsi a un Wi-Fi gratuito non si dovrebbero dover inserire dati personali, come l'accesso tramite un account di posta o un social network", ha detto l'ispettore dell'AFP Andrea Coleman quando sono stati annunciati i capi d'imputazione.La storia non si è fermata all'imputazione. A novembre 2025 l'AFP ha riferito che l'uomo, ormai 44enne, si è dichiarato colpevole per 15 capi davanti al tribunale distrettuale di Perth ed è stato condannato a sette anni e quattro mesi di reclusione, con possibilità di libertà condizionale dopo cinque anni. L'analisi forense dei suoi dispositivi ha riportato alla luce credenziali di altre persone insieme a migliaia di immagini e video intimi sottratti ad account di donne. Secondo l'AFP, il dispositivo era uno strumento portatile per test di penetrazione venduto come "Wi-Fi Pineapple", che ascolta i dispositivi alla ricerca di reti fidate e ne clona automaticamente una; e le false pagine di accesso non hanno mai fornito davvero l'accesso a internet. La loro unica funzione era la raccolta di dati (AFP).
Perché il trucco funziona
La meccanica è semplice. Un hotspot falso che trasmette con più potenza della rete legittima può cacciarla dalla lista mostrata dal telefono; l'analisi di Kaspersky del caso in volo rileva che le vittime vedevano solo la rete falsa perché il suo segnale era più forte (kaspersky.com). I portali captive fanno il resto: la pagina che il viaggiatore si attende - numero di camera, indirizzo e-mail, accesso social - è esattamente la pagina che un attaccante può contraffare. Certuni contesti concentrano il rischio. Le compagnie aeree trasmettono sempre più spesso l'intrattenimento sui dispositivi degli stessi passeggeri, così connettersi alla rete dell'aereo sembra routine, e in volo non c'è alternativa cellulare. L'autore di Kaspersky descriveva le probabilità di successo di uno schema del genere come "altissime": consegnare le credenziali o passare il volo senza intrattenimento.Cosa cambia HTTPS, e cosa no
Il quadro è meno cupo di dieci anni fa. Come nota la FTC statunitense, oggi la maggior parte dei siti usa la crittografia, e questo spiega in gran parte perché considera le reti Wi-Fi pubbliche in generale più sicure di una volta (consumer.ftc.gov). La crittografia di trasporto fa il lavoro pesante: un evil twin può inoltrare il tuo traffico, ma una connessione correttamente cifrata con il sito vero resta illeggibile per chi la inoltra. Le avvertenze contano quanto la regola. La crittografia protegge la connessione, non la decisione che la precede: una password digitata in un portale falso viene consegnata volontariamente, prima di qualsiasi handshake con il servizio vero. La FTC precisa anche che il lucchetto non dice nulla su chi gestisce un sito, perché i truffatori ottengono certificati anche per pagine false. E persino con tutto cifrato, il punto d'accesso falso continua a vedere i metadati: quali domini risolvi e a quali server ti connetti. Da notare che né l'indagine australiana né le analisi pubblicate di campagne simili si basano su crittografia violata. Non ne hanno bisogno.Un atteggiamento pratico
Nulla di tutto ciò richiede paranoia, solo una breve lista di controllo applicata con costanza:- Trattare come ostile qualunque portale che chieda l'accesso con e-mail, social network o dati di pagamento; il Wi-Fi gratuito legittimo non lo richiede, come ha sottolineato il consiglio dell'AFP dopo il caso.
- Verificare il nome esatto della rete con il personale a terra e con le istruzioni del sedile in volo, invece di fidarsi del segnale più forte.
- Preferire il tethering del proprio telefono agli hotspot altrui quando la tariffa lo consente.
- Disattivare la connessione automatica, far dimenticare le reti ai dispositivi dopo l'uso e spegnere il Wi-Fi quando non serve.
- Portare con sé la propria crittografia: attivare una VPN appena la connessione è su e mantenere la consueta postura Tor per tutto ciò che è sensibile; se la VPN non si connette, niente posta né home banking su quella rete.
- Non installare mai app, plug-in o certificati proposti da un portale, e disconnettersi se vengono richiesti.