O Wi-Fi da estação de comboios é mesmo perigoso em 2026?

O que o HTTPS realmente protege

Desde 2018, o HTTPS tornou-se o padrão absoluto da web. Graças à iniciativa Let's Encrypt e às políticas dos navegadores (o Chrome e o Firefox assinalam os sites HTTP como «não seguros»), mais de 95 % do tráfego web mundial está encriptado através de TLS.

Esta encriptação protege o conteúdo das suas trocas de ponta a ponta: as suas palavras-passe, os dados do cartão bancário, as mensagens e os ficheiros. Quem intercetar o seu tráfego Wi-Fi vê apenas ruído criptográfico, não consegue ler o que envia nem o que recebe.

O Wi-Fi público em 2026 é, portanto, fundamentalmente menos perigoso do que em 2015 no que toca à interceção direta de dados. A maior parte dos conselhos alarmistas que lê são herdados de uma época em que o HTTP ainda era omnipresente.

O que não protege

O HTTPS não esconde os metadados. Numa rede que não controla, um observador consegue ver a que domínio se está a ligar (não o URL exato, mas o domínio: graças ao SNI visível em texto simples durante o handshake TLS), a que horas, durante quanto tempo e que volume de dados é trocado. Estes metadados são reveladores.

Um atacante na mesma rede pode também realizar DNS spoofing se o seu dispositivo não utilizar DNS over HTTPS: substituindo as respostas DNS legítimas por endereços que apontam para os seus próprios servidores. Pode criar um ponto de acesso falso com exatamente o mesmo nome do Wi-Fi legítimo (ataque Evil Twin) para intercetar as suas ligações antes de estas chegarem à internet. Pode ainda tentar SSL stripping nos raros sites que não têm o HSTS ativado.

Riscos reais em 2026

Na prática, os riscos residuais no Wi-Fi público em 2026 são os seguintes:

→Evil Twin: uma rede Wi-Fi fraudulenta com exatamente o mesmo nome que a rede legítima, uma técnica particularmente frequente em aeroportos e grandes estações ferroviárias. Liga-se ao que parece ser a rede certa, mas o seu tráfego passa por equipamento controlado por um atacante.
→DNS spoofing, se o seu dispositivo não impuser DNS over HTTPS: os seus pedidos de DNS podem ser redirecionados para servidores maliciosos.
→Aplicações que ainda usam HTTP simples para algumas funções (autenticação, sincronização): algo raro em 2026, mas que ainda existe.
→Sequestro de sessão em sites sem cookies Secure e SameSite corretamente configurados.

Recomendações práticas

Numa rede Wi-Fi pública, ativar a sua VPN antes de qualquer ligação continua a ser a melhor prática. Uma VPN elimina o ataque Evil Twin (o seu tráfego é encriptado antes mesmo de sair do dispositivo) e o DNS spoofing (a sua VPN usa os seus próprios servidores DNS encriptados).

Desative a ligação automática ao Wi-Fi no seu telemóvel: é a funcionalidade que o liga automaticamente a qualquer rede com um nome que já usou antes. É prática, mas é explorada pelos ataques Evil Twin.

Verifique que os sites sensíveis (banco, e-mail, compras) mostram o cadeado HTTPS no seu navegador antes de introduzir seja o que for. No iOS e no Android, as aplicações sérias impõem o HTTPS de forma nativa.

A Trasimène ativa automaticamente a filtragem DNS over HTTPS nas redes não seguras e alerta-o se for detetada uma rede suspeita (potencial Evil Twin).

O Wi-Fi público é menos perigoso do que era há dez anos, mas isso não é motivo para baixar a guarda. Os riscos residuais: Evil Twin, DNS spoofing, aplicações mal configuradas, são reais e exploráveis. Com uma VPN ativada e DNS over HTTPS, fica protegido contra praticamente todos os ataques práticos numa rede não segura.

Fontes

Trasimène: segurança móvel

Ativar a VPN Trasimène

Descarregar Trasimène →