Um Wi-Fi falso, ou gêmeo do mal (evil twin), é um ponto de acesso que copia o nome de uma rede real para o seu celular se conectar a ele. Quem controla a rede vê quais sites você visita, pode mexer no tráfego sem criptografia e mostrar uma página de login falsa. Pergunte o nome exato da rede aos funcionários, nunca digite senhas ou dados de cartão numa página de login do Wi-Fi e use dados móveis ou uma VPN em redes públicas.
Você senta numa cafeteria, abre a lista de redes e vê Cafe_WiFi. Toca, talvez aceite uma página de login, e pronto: está na internet. O que você não consegue ver é se essa rede é da cafeteria ou de alguém na mesa ao lado, com um notebook e um adaptador Wi-Fi barato.
Essa segunda rede é um Wi-Fi falso, também chamado de gêmeo do mal (evil twin): um ponto de acesso que copia o nome de uma rede de verdade. É um golpe antigo, e ainda funciona por causa do jeito como o Wi-Fi decide em qual rede confiar.
Por que o celular cai num nome copiado
- As redes Wi-Fi são identificadas pelo nome. Numa rede aberta, nada prova que o ponto de acesso chamado
Cafe_WiFié o da cafeteria. Qualquer um pode transmitir qualquer nome. - O celular volta para as redes que conhece. Se você já usou
Aeroporto_WiFi_Gratis, o celular pode entrar em qualquer rede com esse nome, em qualquer lugar, sem perguntar. - O sinal mais forte costuma ganhar. Uma rede gêmea mais perto de você que o roteador verdadeiro parece a melhor opção.
- Uma senha na parede não ajuda. Se todos os clientes sabem a senha, o golpista também sabe, e pode montar uma rede gêmea com o mesmo nome e a mesma senha.
O que um ponto de acesso falso consegue ver e fazer
Quem administra um ponto de acesso, falso ou verdadeiro, fica entre você e a internet. Num falso, essa pessoa é hostil.
| O que ele pode fazer | Como | O que impede |
|---|---|---|
| Ver quais sites e apps você usa | Pelas consultas DNS comuns e pelos nomes dos sites nas conexões criptografadas | DNS criptografado ou uma VPN |
| Mudar aonde você chega | Reescrevendo respostas de DNS ou mexendo em páginas sem HTTPS | HTTPS sem ignorar avisos; uma VPN com DNS próprio |
| Pedir seus dados | Uma página de login falsa que pede a senha do e-mail, login com rede social ou número de cartão | Nunca digitar esses dados numa página de login do Wi-Fi |
| Ler o conteúdo de páginas HTTPS | Não consegue, a não ser que você aceite um aviso de certificado | Tratar qualquer aviso de certificado como sinal de pare |
A tabela também traz boas notícias. Quase tudo o que você faz hoje passa por HTTPS, que protege o conteúdo das páginas; por isso a Comissão Federal de Comércio dos EUA considera o Wi-Fi público "normalmente seguro" para esse conteúdo. Muitos sites também usam HSTS (RFC 6797), que obriga o navegador a recusar conexões inseguras com eles e a não deixar você passar por erros de certificado. O poder real de uma rede gêmea está no que sobra: a lista de lugares que você visita, os sites sem HTTPS e o que você digitar nas páginas dela. Em o que o dono do Wi-Fi pode ver, passamos por essa lista em detalhe, e a ferramenta O que a sua rede Wi-Fi vê mostra isso na sua própria conexão.
Sinais de alerta
Nenhum deles prova um ataque, mas todos são motivo para parar e conferir:
- Duas redes com o mesmo nome, uma aberta e outra com cadeado, ou o mesmo nome duas vezes com sinais diferentes.
- Uma página de login que pede demais: a senha do e-mail ou de uma rede social, número de cartão para um Wi-Fi "grátis", ou instalar um app ou perfil.
- Um aviso de certificado no navegador num site que costuma funcionar. Saia; não aceite.
- Um nome quase certo:
Aeroporto-WiFi-Gratisquando o oficial éAeroporto WiFi Gratis. - Sites com algo estranho, ou uma página de login do seu banco num endereço que você não reconhece.
Como se proteger, passo a passo
- Pergunte aos funcionários o nome exato da rede e se ela tem senha. Placas e cupons fiscais também ajudam.
- Pare de entrar sozinho em redes abertas. No Android, abra Configurações › Rede e internet › Internet, toque na engrenagem ao lado de uma rede pública salva e desative Conectar automaticamente, ou toque em Esquecer quando a viagem acabar.
- Nunca digite senhas de contas nem números de cartão numa página de login do Wi-Fi. A página de uma cafeteria ou hotel de verdade pede para aceitar os termos, ou um número de quarto ou código do cupom.
- Trate avisos de certificado como sinal de pare. Muitas vezes, são a única pista visível de que alguém está no meio.
- Use os dados móveis para o que é sensível, como o banco ou a troca de senhas, quando der.
- Use uma VPN que conecta sozinha nas redes em que você não confia, com o kill switch do Android ligado para nada vazar enquanto ela conecta. Nosso guia sobre o kill switch no Android mostra como.
O que uma VPN faz, e o que não faz, contra um Wi-Fi falso
Faz:
- Criptografa tudo entre o celular e o servidor VPN, então a rede gêmea vê uma única conexão criptografada em vez dos seus sites.
- Responde às consultas DNS dentro do túnel, para a rede gêmea não conseguir mandar você a endereços falsos.
- Recusa conversar com impostores. O WireGuard só completa o handshake com um servidor cuja chave pública o app já conhece, então um ponto de acesso falso não consegue se passar pelo servidor VPN.
Não faz:
- Proteger antes de conectar. A página de login falsa aparece primeiro, e uma VPN não impede você de digitar nela.
- Barrar o phishing. Se você digitar a senha num site falso, a criptografia não ajuda.
- Consertar um celular que já está infectado.
E o WPA3 e as redes "seguras"?
Os padrões de segurança Wi-Fi mais novos ajudam, com limites. Segundo a Wi-Fi Alliance, o WPA3-Personal dá "mais proteção contra tentativas de adivinhar a senha", e o Wi-Fi Enhanced Open acrescenta criptografia às redes abertas. Nenhum dos dois prova quem administra o ponto de acesso quando a senha é pública ou não existe. Redes corporativas com login individual conseguem provar sua identidade, mas só se o celular estiver configurado para conferir o certificado da rede. A Cartilha do CERT.br sobre redes recomenda o mesmo básico: cuidado com redes abertas e preferência por conexões com criptografia, como HTTPS e VPN.
Como a PryVPN ajuda no Wi-Fi público
- Conexão automática em Wi-Fi não confiável. Em Configurações › Conexão automática e Wi-Fi, ative Em Wi-Fi não confiável, e a PryVPN conecta em qualquer rede que você não marcou como confiável. O artigo de ajuda sobre Wi-Fi público tem os detalhes.
- Páginas de login tratadas de propósito. A PryVPN detecta a página de login da rede e pede que você entre primeiro, em vez de falhar em silêncio (páginas de login do Wi-Fi). É também a sua hora de conferir se a página pede só o que uma cafeteria pediria.
- DNS dentro do túnel. As consultas vão para o resolvedor do nosso servidor, que responde na memória e não as registra.
Perguntas frequentes
Um Wi-Fi falso consegue roubar minhas senhas?
Só se você entregar: digitando nas páginas dele, aceitando um aviso de certificado ou usando um site sem HTTPS. Com HTTPS e uma VPN, ele vê dados criptografados que não consegue ler.
O Wi-Fi com senha da cafeteria está a salvo de redes gêmeas?
Não totalmente. Se a senha está impressa no cardápio, o golpista também pode usá-la. A senha impede que estranhos entrem; não prova qual é o ponto de acesso verdadeiro.
O HTTPS me protege num ponto de acesso falso?
Protege o conteúdo da página, desde que você nunca aceite um aviso de certificado. Não esconde quais sites você visita nem impede que você digite numa página de login falsa.
É melhor nunca usar Wi-Fi público?
Para o que é sensível, os dados móveis são a opção mais simples. Para navegar no dia a dia, Wi-Fi público com HTTPS e VPN está ok. Nosso guia sobre se o Wi-Fi público é seguro vai além.
Se quiser uma VPN que liga sozinha quando você entra numa rede em que não confia, você pode entrar na beta da PryVPN.
Fontes
Viu algum erro? Escreva para support@pryvpn.com; a gente corrige e atualiza a data.
