Você desembarca, está cansado, quer só avisar a família que chegou. O celular mostra uma rede chamada "Free WiFi Airport". Você conecta, abre uma página pedindo seu e-mail e senha pra "entrar", digita sem pensar muito. Pronto: se aquela rede era falsa, suas credenciais acabaram de ir parar na mão de um criminoso que está sentado a alguns metros de você.
Isso não é hipótese. Na Austrália, a Polícia Federal (AFP) acusou em 2024 um homem que viajava por aeroportos de Perth, Melbourne e Adelaide — e dentro de voos domésticos — carregando um aparelhinho de Wi-Fi do tamanho de um celular. Com ele, criava redes abertas com nomes idênticos aos oficiais. Quem se conectava era levado a uma página falsa pedindo login de e-mail ou rede social, e os dados eram capturados na hora. Em 28 de novembro de 2025, esse mesmo homem foi condenado a 7 anos e 4 meses de prisão, com possibilidade de liberdade condicional após 5 anos. A investigação começou quando uma companhia aérea estranhou uma rede suspeita a bordo.
O nome técnico do golpe é "evil twin" (gêmeo do mal). E ele é justamente o tipo de risco que merece sua atenção numa viagem entre os EUA e o Brasil, quando você cruza aeroportos lotados de redes "grátis".
Como funciona
A CISA, agência de cibersegurança do governo americano, explica o mecanismo de forma direta: o atacante se passa por uma rede legítima, geralmente com sinal mais forte. Quando você conecta pelo sistema dele, ele consegue ler o que você manda. O aparelho usado no caso australiano foi um "WiFi Pineapple" — um dispositivo que detecta os pedidos de conexão que seu celular fica emitindo e cria, na hora, uma rede com o mesmo nome de uma que você já usou antes.
Aí entra a parte que pega muita gente desprevenida. Seu celular tem o hábito de se conectar sozinho a redes conhecidas. Quando ele faz isso com a rede falsa, aparece aquela tela de "entrar no Wi-Fi" — o tal captive portal. Essa página pode ser falsificada por um truque chamado DNS spoofing: o sistema do telefone tenta checar uma URL conhecida pra detectar o portal, o servidor malicioso intercepta essa checagem, e a página falsa surge sozinha. Você nem precisa abrir o navegador. Pesquisas sobre o tema indicam que entre 30% e 60% das pessoas digitam suas credenciais num portal falso convincente; um estudo de 2019 encontrou 52% inserindo o login do Google numa tela falsa de "Entrar com o Google".
O que o HTTPS resolve — e o que não resolve
Vamos ser honestos com você, porque dá pra exagerar nesse assunto. A FTC, o órgão de defesa do consumidor dos EUA, reconhece que, graças ao uso generalizado de criptografia, conectar-se a uma rede Wi-Fi pública costuma ser seguro hoje. O cadeado e o "https" na barra de endereço — que a FTC e a FCC pedem pra você conferir — criptografam o conteúdo entre você e o site. Isso ajuda muito.
O problema: o cadeado não blinda contra tudo. O portal falso e o redirecionamento por DNS conseguem te jogar numa página de login fraudulenta antes mesmo de o tráfego HTTPS começar, e quem controla a rede é o atacante. Por isso a orientação oficial não é "confie no cadeado e relaxe", e sim somar três coisas: HTTPS, VPN e o bom senso de não digitar dados sensíveis numa rede aberta.
Sinais de alerta
- Uma página pede seu e-mail, senha de banco ou login de rede social só pra "liberar" o Wi-Fi. A comandante da AFP, Renee Colley, foi clara: "uma rede que pede seus dados pessoais deve ser evitada".
- Aparecem duas ou mais redes com nomes quase iguais do mesmo lugar (ex.: "Airport_Free" e "Airport-Free"). Uma delas pode ser a impostora.
- A tela de login surge sozinha, antes de você abrir o navegador.
- O nome da rede tem um erro de digitação sutil ou um caractere a mais.
- A rede está aberta, sem senha, e o sinal é estranhamente forte perto de você.
Como se proteger
O bom é que a defesa é simples e cabe na rotina do aeroporto:
- Prefira seus dados móveis. Use o 4G/5G ou o hotspot pessoal do seu próprio celular. É o jeito mais seguro de mandar aquela mensagem rápida.
- Desligue a conexão automática a redes. No iPhone: Ajustes > Wi-Fi > toque no (i) da rede > desative "Conexão automática". No Android: Wi-Fi > preferências > desative "Conectar a redes públicas". Assim seu celular para de se ligar sozinho a qualquer rede de nome conhecido.
- Instale uma VPN confiável. Ela cria um túnel criptografado que protege seu tráfego em qualquer rede, mesmo se você cair numa falsa. A própria AFP recomenda VPN.
- Confirme o nome EXATO da rede com um funcionário. O celular conecta na rede de mesmo nome com sinal mais forte ou que ele vê primeiro — então saber o nome oficial é a sua melhor proteção. A CISA orienta confirmar nome e senha do hotspot antes de usar, e checar se ele usa ao menos criptografia WPA2 (WPA3 é a mais forte).
- Não digite dados financeiros em rede aberta. Cartão, conta de banco, nada disso. E nunca envie esses dados por e-mail, mesmo numa rede que pareça segura.
- Procure o "https" em toda página, não só na de login. E não reutilize a mesma senha em sites diferentes.
E o carregador USB do aeroporto?
Você provavelmente já ouviu falar do "juice jacking", o medo de que portas USB públicas instalem vírus no seu celular. O FBI de Denver chegou a alertar sobre isso em abril de 2023. Mas vale a proporção honesta: investigações jornalísticas apuraram que não há casos modernos documentados desse golpe em iPhones e Androids atuais, e o próprio FBI admitiu que o aviso foi um comunicado padrão, sem inteligência específica. O risco existe, mas é raríssimo. O perigo concreto e documentado é o Wi-Fi falso — esse, sim, merece sua atenção.
Se você já caiu
Acontece, e ninguém precisa se culpar — o golpe é desenhado pra enganar gente atenta na correria. Aja rápido:
- Troque imediatamente a senha de qualquer conta que você digitou (e-mail, banco, rede social), de preferência usando seus dados móveis ou uma rede confiável.
- Ative a verificação em duas etapas nessas contas, se ainda não tiver.
- Fique de olho em movimentações estranhas no banco e em logins desconhecidos.
- Se cair em golpe ou roubo de dados, denuncie nos canais oficiais abaixo.
Onde denunciar e saber mais
- FBI — Internet Crime Complaint Center (denunciar crime cibernético / golpe online)
- FTC — Reportar fraude e golpes (ReportFraud.ftc.gov)
- FTC — Roubo de identidade: passos de recuperação (IdentityTheft.gov)
- FTC Consumer Advice — As redes Wi-Fi públicas são seguras? O que você precisa saber
- CISA — Securing Wireless Networks (proteger redes sem fio e Wi-Fi público)
- FCC — How to Protect Yourself Online (dicas de Wi-Fi e Bluetooth)
- Verifique se seu e-mail apareceu em vazamentos (Have I Been Pwned)
