Il Wi-Fi della stazione è davvero pericoloso nel 2026?

Cosa protegge davvero l'HTTPS

Dal 2018, l'HTTPS è diventato lo standard assoluto del web. Grazie all'iniziativa Let's Encrypt e alle politiche dei browser (Chrome e Firefox segnalano i siti HTTP come “non sicuri”), oltre il 95% del traffico web mondiale è cifrato tramite TLS.

Questa cifratura protegge il contenuto dei tuoi scambi end-to-end: le tue password, i dati della carta di credito, i messaggi e i file. Chi intercetta il tuo traffico Wi-Fi vede solo rumore crittografico, non può leggere ciò che invii o ricevi.

Il Wi-Fi pubblico nel 2026 è quindi fondamentalmente meno pericoloso che nel 2015 per l'intercettazione diretta dei dati. La maggior parte dei consigli allarmistici che leggi risale a un'epoca in cui l'HTTP era ancora onnipresente.

Cosa non protegge

L'HTTPS non nasconde i metadati. Su una rete che non controlli, un osservatore può vedere a quale dominio ti stai connettendo (non l'URL esatto, ma il dominio: grazie all'SNI visibile in chiaro durante l'handshake TLS), a che ora, per quanto tempo e quanti dati vengono scambiati. Questi metadati sono rivelatori.

Un aggressore sulla stessa rete può anche effettuare DNS spoofing se il tuo dispositivo non usa il DNS over HTTPS: sostituendo le risposte DNS legittime con indirizzi che puntano ai propri server. Può creare un hotspot falso con esattamente lo stesso nome del Wi-Fi legittimo (attacco Evil Twin) per intercettare le tue connessioni prima che raggiungano internet. Può anche tentare l'SSL stripping sui rari siti che non hanno l'HSTS attivato.

I rischi reali nel 2026

In pratica, i rischi residui sul Wi-Fi pubblico nel 2026 sono i seguenti:

→Evil Twin: una rete Wi-Fi fraudolenta che porta esattamente lo stesso nome di quella legittima, una tecnica particolarmente diffusa negli aeroporti e nelle grandi stazioni ferroviarie. Ti connetti a quella che sembra la rete giusta, ma il tuo traffico passa attraverso apparecchiature controllate da un aggressore.
→DNS spoofing se il tuo dispositivo non impone il DNS over HTTPS: le tue richieste DNS possono essere reindirizzate verso server malevoli.
→App che usano ancora il semplice HTTP per alcune funzioni (autenticazione, sincronizzazione): una rarità nel 2026, ma esistono.
→Session hijacking sui siti privi di cookie Secure e SameSite configurati correttamente.

Consigli pratici

Su una rete Wi-Fi pubblica, attivare la VPN prima di qualsiasi connessione resta la buona pratica per eccellenza. Una VPN elimina l'attacco Evil Twin (il tuo traffico è cifrato ancor prima di lasciare il dispositivo) e il DNS spoofing (la tua VPN utilizza i propri server DNS cifrati).

Disattiva la connessione automatica al Wi-Fi sul telefono: è la funzione che ti collega in automatico a qualsiasi rete il cui nome hai già usato in passato. È comoda, ma viene sfruttata dagli attacchi Evil Twin.

Verifica che i siti sensibili (banca, email, acquisti) mostrino il lucchetto HTTPS nel browser prima di inserire qualsiasi dato. Su iOS e Android le app serie impongono l'HTTPS in modo nativo.

Trasimène attiva automaticamente il filtraggio DNS over HTTPS sulle reti non protette e ti avvisa se viene rilevata una rete sospetta (potenziale Evil Twin).

Il Wi-Fi pubblico è meno pericoloso di dieci anni fa, ma non è un motivo per abbassare la guardia. I rischi residui: Evil Twin, DNS spoofing, app mal configurate, sono reali e sfruttabili. Con una VPN attiva e il DNS over HTTPS, sei protetto contro praticamente tutti gli attacchi concreti su una rete non protetta.

Fonti

Trasimène: sicurezza mobile

Attiva la VPN Trasimène

Scarica Trasimène →