Como te manteres seguro em redes Wi-Fi públicas (uma lista prática para 2026)
O que sempre se disse sobre o Wi-Fi público não envelheceu bem. Há dez anos, os avisos sobre as redes de hotéis e cafés estavam certos: um atacante determinado na mesma rede Wi-Fi conseguia ler a maior parte do teu tráfego e roubar cookies diretamente do ar. Hoje, quase todos os sites que visitas são encriptados com HTTPS, o que fecha a maior parte dessa brecha.
Mas esse «a maior parte» tem muito que se lhe diga. A parte do Wi-Fi público que continua a ser genuinamente arriscada mudou, e as defesas mudaram com ela. Eis a versão resumida do que realmente importa em 2026.
O que ainda é arriscado e o que já não é
Em grande parte resolvido pelo HTTPS:
- Ler o conteúdo dos sites em que navegas.
- Roubar o cookie da tua sessão iniciada num site normal.
- Intercetar a tua palavra-passe quando inicias sessão num banco, fornecedor de email ou rede social verdadeiros.
Ainda genuinamente arriscado:
- Redes «gémeo maligno» (evil twin). Um atacante cria um ponto de acesso Wi-Fi chamado «Starbucks WiFi» ou «Hotel Guest», com um sinal mais forte do que o legítimo. O teu telemóvel liga-se a ele sem hesitar. A partir daí, o atacante está no meio de todas as ligações que fazes e pode apresentar-te páginas de início de sessão falsas ou capturar as tuas consultas DNS.
- Phishing no portal cativo. A página «clica aqui para te ligares» pede, por vezes, o teu email e uma palavra-passe — e um número surpreendente de pessoas introduz a mesma palavra-passe que usa na conta de email.
- Tráfego não encriptado. Algumas aplicações, sobretudo as mais antigas, ainda enviam dados sem TLS. É menos comum do que era, mas ainda acontece.
- Vigilância ao nível do DNS. Mesmo com HTTPS, qualquer pessoa que esteja a observar a rede consegue ver que sites visitas (o campo SNI do TLS revela o nome do anfitrião). Não o conteúdo, mas os destinos.
- Dispositivos antigos ou sem atualizações. Os ataques ao nível da rede contra sistemas operativos sem correções de segurança continuam a ser reais.
A lista de dois minutos
Isto é o que deves mesmo fazer, por ordem de impacto:
1. Liga uma VPN antes de te ligares a qualquer coisa importante. Mesmo que o HTTPS proteja o conteúdo do teu tráfego, uma VPN esconde que sites estás a visitar de qualquer pessoa que observe a rede — incluindo o operador da rede. Também anula os ataques de gémeo maligno, porque o teu tráfego segue encriptado até um servidor em que confias, e não até um ponto de acesso qualquer que esteja a emitir por perto.
2. Esquece a rede quando terminares. Os telemóveis e os portáteis voltam a ligar-se automaticamente às redes «conhecidas». Se te ligaste uma vez ao Wi-Fi duvidoso de um café, o teu telemóvel vai voltar a ligar-se em silêncio sempre que vir o mesmo nome no futuro. Vai às definições de Wi-Fi, toca na rede e escolhe «Esquecer».
3. Desativa por completo a ligação automática a redes Wi-Fi nos dispositivos com que viajas. Os telemóveis modernos têm uma definição do género «Pedir para aceder a redes». Ativa-a. O incómodo de um segundo para confirmar uma rede compensa o risco de te ligares, sem dares por isso, a uma rede hostil.
4. Desconfia de portais cativos com comportamentos estranhos. Um portal cativo verdadeiro pede um endereço de email (por vezes), a aceitação dos termos ou absolutamente nada. Se pedir uma palavra-passe, sobretudo sem explicar para que serve, fecha a página e usa os dados móveis.
5. Faz um teste de fugas antes de fazeres algo sensível. Um teste de fugas de IP gratuito confirma que a tua VPN está mesmo a ocultar o teu endereço real e que nada está a escapar do túnel através do WebRTC.
E quanto ao banco e aos gestores de palavras-passe?
As aplicações bancárias costumam ser seguras em redes Wi-Fi públicas, porque implementam afixação de certificados (certificate pinning) e recusam ligar-se através de um ponto de acesso falso. Os gestores de palavras-passe também são, em geral, seguros, porque encriptam os dados localmente antes de saírem do teu dispositivo.
Os elos mais fracos continuam a ser os de sempre: palavras-passe reutilizadas, páginas de phishing que parecem verdadeiras e dispositivos que não são atualizados há meses. Uma VPN não resolve nada disso — limita-se a retirar a rede da lista de superfícies de ataque.
Perguntas frequentes
O Wi-Fi do hotel é seguro?
O Wi-Fi dos hotéis está entre as piores redes a que te ligas com regularidade. Os portais cativos são fáceis de falsificar, as redes são partilhadas com centenas de desconhecidos e muitos routers de hotel não recebem atualizações de firmware há anos. Usa sempre uma VPN e, para tudo o que envolva dinheiro, prefere o hotspot móvel do teu telemóvel.
Alguém pode roubar a minha palavra-passe numa rede Wi-Fi pública?
Se o site em que inicias sessão usar HTTPS — e quase todos os sites verdadeiros usam —, a palavra-passe em si vai encriptada. Os riscos são: uma página de phishing servida por um ponto de acesso falso, malware no teu dispositivo ou escreveres a palavra-passe num portal cativo duvidoso que finge ser a página de autenticação da rede.
Uma VPN torna o Wi-Fi público 100% seguro?
Não. Uma VPN protege contra a escuta ao nível da rede e contra a maioria dos ataques de gémeo maligno. Não protege contra malware no teu dispositivo, emails de phishing ou seres convencido a introduzir uma palavra-passe na página errada. Encara-a como uma camada forte numa abordagem de defesa em profundidade.
