Armadilhas do Wi-Fi evil twin em viagens: hotspots falsos, portais cativos e uma condenação australiana
Cada aeroporto, hotel e cabina de avião tem hoje a sua rede gratuita familiar, e a maioria dos viajantes liga-se sem pensar duas vezes. Um ponto de acesso evil twin explora esse hábito: é um hotspot falso que toma emprestado o nome de uma rede legítima. Os dispositivos que já se ligaram à rede verdadeira podem ligar-se automaticamente à falsa, e os recém-chegados não percebem a diferença, porque o nome de uma rede Wi-Fi não prova identidade nenhuma.
Da acusação à condenação
A ilustração mais clara e recente vem da Austrália. Em abril de 2024, uma companhia aérea informou a Polícia Federal Australiana (AFP) de uma rede suspeita que imitava o seu Wi-Fi legítimo durante um voo doméstico. A 19 de abril de 2024, os investigadores revistaram a bagagem de mão de um passageiro no aeroporto de Perth e apreenderam um ponto de acesso sem fios portátil, um portátil e um telemóvel. A 28 de junho de 2024, a AFP acusou o homem, de 42 anos e residente na Austrália Ocidental, de nove crimes: alegadamente montou redes falsas nos aeroportos de Perth, Melbourne e Adelaide, em voos domésticos e noutros locais, que mostravam uma página pedindo aos viajantes para iniciarem sessão com uma conta de e-mail ou de rede social; as credenciais introduzidas ficavam guardadas nos dispositivos dele (AFP)."Para se ligar a um Wi-Fi gratuito não se devia ter de introduzir dados pessoais - como iniciar sessão através de uma conta de e-mail ou de rede social", disse a inspetora da AFP Andrea Coleman quando as acusações foram anunciadas.O caso não terminou na acusação. Em novembro de 2025, a AFP informou que o homem, entretanto com 44 anos, declarou-se culpado de 15 crimes no tribunal de distrito de Perth e foi condenado a sete anos e quatro meses de prisão, com possibilidade de liberdade condicional ao fim de cinco anos. A análise forense dos dispositivos dele revelou credenciais de outras pessoas, além de milhares de imagens e vídeos íntimos retirados de contas de mulheres. Segundo a AFP, o aparelho era uma ferramenta portátil de teste de intrusão vendida como "Wi-Fi Pineapple", que escuta os dispositivos à procura de redes de confiança e clona automaticamente uma delas - e as falsas páginas de início de sessão nunca chegaram a dar acesso à internet. A única função delas era recolher dados (AFP).
Porque é que o truque funciona
A mecânica é simples. Um hotspot falso a emitir com mais potência do que a rede legítima pode empurrá-la para fora da lista que o telemóvel mostra; a análise da Kaspersky ao caso a bordo regista que as vítimas viram apenas a rede falsa porque o sinal dela era mais forte (kaspersky.com). Os portais cativos fazem o resto: a página que o viajante espera ver - número de quarto, endereço de e-mail, acesso por rede social - é precisamente a página que um atacante consegue falsificar. Há cenários que concentram o risco. As companhias aéreas transmitem cada vez mais o entretenimento para os aparelhos dos próprios passageiros, pelo que ligar-se à rede do avião parece rotina, e em pleno voo não há alternativa móvel. O autor da Kaspersky descreveu as hipóteses de sucesso de tal esquema como "altíssimas": entregar as credenciais ou passar o voo sem entretenimento.O que o HTTPS muda, e o que não muda
O cenário é menos sombrio do que era há uma década. Como nota a FTC dos EUA, hoje a maioria dos sites usa encriptação, o que explica em grande parte porque considera as redes Wi-Fi públicas geralmente mais seguras do que antigamente (consumer.ftc.gov). A encriptação de transporte faz o trabalho pesado: um evil twin pode reencaminhar o seu tráfego, mas uma ligação devidamente encriptada com o site verdadeiro continua ilegível para quem a reencaminha. As ressalvas importam tanto como a regra. A encriptação protege a ligação, não a decisão anterior: uma palavra-passe escrita num portal falso é entregue voluntariamente, antes de qualquer negociação com o serviço verdadeiro. A FTC adverte também que o cadeado não diz nada sobre quem opera um site, porque os burlões também obtêm certificados para páginas falsas. E mesmo com tudo encriptado, o ponto de acesso falso continua a ver metadados: que domínios resolve e a que servidores se liga. Nota-se que nem a investigação australiana nem as análises publicadas de campanhas assim dependem de quebrar a encriptação. Não precisam disso.Uma postura prática
Nada disto exige paranoia, apenas uma lista curta aplicada com constância:- Tratar como hostil qualquer portal que peça início de sessão com e-mail, rede social ou dados de pagamento; o Wi-Fi gratuito legítimo não precisa disso, como sublinhou o conselho da AFP após o caso.
- Confirmar o nome exato da rede com o pessoal em terra e com as instruções do assento em voo, em vez de confiar no sinal mais forte.
- Preferir a partilha de internet do próprio telemóvel a hotspots alheios quando o tarifário permitir.
- Desativar a ligação automática, fazer os dispositivos esquecerem as redes depois de as usar e desligar o Wi-Fi quando não é preciso.
- Levar a sua própria encriptação: ativar uma VPN logo que a ligação esteja feita e manter a postura habitual de Tor para o que é sensível; se a VPN não ligar, nem e-mail nem banca nessa rede.
- Nunca instalar aplicações, plug-ins ou certificados que um portal ofereça, e desligar-se se forem pedidos.