Aeroporto lotado, plano de dados estourado e aquele “Wi-Fi_Free_Terminal3” aparece na lista. Você conecta. Abre o e-mail. Confere o saldo do banco. Três semanas depois, uma compra que você não fez aparece na fatura.
Esse roteiro não é hipotético. O Brasil registrou 753,8 bilhões de tentativas de ataque cibernético em 2025, com crescimento de 535% na distribuição de malware. Boa parte desses ataques explora exatamente o cenário acima: redes Wi-Fi sem senha funcionando como porta aberta para qualquer pessoa na vizinhança. Inclusive quem não deveria estar lá.
Os perigos do Wi-Fi sem senha atingem dois lados: quem conecta sem pensar e quem oferece o sinal sem proteger. Se você está em qualquer um dos dois, aqui está o que realmente está em jogo.
Veja mais vídeos como esse em nosso canal do YouTube!
Como funciona um ataque em Wi-Fi sem senha
Não é mágica. É assimetria: o atacante vê tudo, você não vê nada.
Em uma rede Wi-Fi sem senha, não existe criptografia no enlace entre seu dispositivo e o roteador. Qualquer pessoa com um adaptador em modo monitor consegue capturar os pacotes que trafegam na rede. Os seus incluídos. Sem precisar “hackear” nada, sem senha pra quebrar. Basta sentar na mesa ao lado.
O caminho típico de um ataque em rede aberta segue três etapas:
- O atacante se conecta à mesma rede (ou cria uma rede falsa com nome idêntico ao legítimo, o chamado evil twin). Dispositivos com autoconexão ativada entram na rede falsa sem perguntar.
- Com técnicas como Man-in-the-Middle, ele se posiciona entre seu dispositivo e o ponto de acesso real. Todo o tráfego passa por ele: URLs visitadas, formulários preenchidos, cookies de sessão.
- As credenciais capturadas viram munição para ataques direcionados: acesso a e-mail, fraude bancária, sequestro de redes sociais, chantagem com dados pessoais.
Pesquisadores japoneses fizeram exatamente isso num experimento controlado: monitoraram 11 hotspots abertos por 150 horas na cidade de Nara e capturaram fotos, documentos e e-mails de usuários desprotegidos. Nenhuma ferramenta sofisticada. Apenas uma rede sem senha e paciência.
A questão não é se alguém consegue interceptar seu tráfego em Wi-Fi aberto. É se alguém está fazendo isso agora, nesse café onde você está lendo este artigo.
7 perigos concretos do Wi-Fi sem senha
Os riscos vão além do clichê “hacker roubando senha de banco”. Eles atingem dados pessoais, continuidade de negócios e até a responsabilidade legal de quem oferece a rede.
1. Roubo de credenciais
Senhas de e-mail, redes sociais e plataformas corporativas são capturadas quando trafegam em conexões não criptografadas. Apps que usam HTTP puro (sim, ainda existem em 2026) entregam tudo em texto legível. Um adaptador Wi-Fi de R$80 e um software gratuito é o que separa suas credenciais de um desconhecido.
2. Fraude financeira
O Santander orienta seus clientes a evitar transações bancárias em Wi-Fi público. O motivo: dados de login e tokens de sessão podem ser sequestrados via MITM, e a vítima só percebe quando o extrato chega. A distância entre “conectar no Wi-Fi do shopping” e “saldo zerado” pode ser de horas.
3. Instalação silenciosa de malware
O atacante injeta pacotes que redirecionam o navegador para uma página de “atualização de software”. Você clica, o download instala um trojan. O Brasil registrou 32 milhões de trojans e 35 mil incidentes de ransomware em 2025. Parte significativa entrou pela porta mais simples: uma rede sem senha.
4. Roubo de identidade
Nome completo, CPF, endereço e data de nascimento circulam em formulários de cadastro, e-mails e PDFs abertos no celular. Em rede aberta, esses dados ficam expostos. Com eles, um criminoso abre conta bancária, solicita crédito ou aplica golpes no seu nome por meses.
5. Espionagem corporativa
O grupo DarkHotel infectou redes Wi-Fi de hotéis por mais de uma década, mirando executivos de alto escalão. A tática: o hóspede conecta no Wi-Fi do lobby, recebe um prompt para “atualizar” o Adobe Flash, e o que baixa é um backdoor assinado digitalmente. A técnica foi replicada por outros grupos. Se você viaja a trabalho e usa o Wi-Fi do hotel sem VPN, esse risco é real.
6. Sequestro de sessão
Mesmo que a senha não seja capturada diretamente, o cookie de autenticação pode ser. Com esse cookie, o atacante acessa sua conta como se fosse você, sem disparar nenhum alerta de “novo dispositivo”. Funciona com e-mail, redes sociais, plataformas de trabalho. Tudo que mantém sessão ativa no navegador.
7. Responsabilidade legal de quem oferece a rede
Esse é o risco que poucos conhecem. Se um cliente usa o Wi-Fi aberto do seu restaurante para cometer um crime digital e não existe registro de quem estava conectado, a responsabilidade pode recair sobre o estabelecimento. A LGPD e o Marco Civil da Internet exigem registros de conexão identificáveis.
Esses sete riscos não são cenários hipotéticos de laboratório. São o cotidiano de quem conecta (ou oferece) Wi-Fi sem nenhuma camada de proteção. Mas antes de falar em soluções, existe um mito que precisa cair.
“Mas eu só acesso sites com HTTPS”
Essa é a objeção mais comum. E tem um fundo de verdade: o HTTPS protege o conteúdo da comunicação entre navegador e servidor. Mas não protege tudo.
O que o HTTPS não cobre em Wi-Fi sem senha:
- Consultas DNS. Antes de acessar qualquer site, seu dispositivo pergunta ao servidor DNS qual é o endereço IP daquele domínio. Essa consulta, por padrão, viaja sem criptografia. O atacante vê todos os sites que você visita, mesmo que o conteúdo esteja cifrado.
- Apps que ignoram TLS. Nem todo aplicativo implementa HTTPS corretamente. Apps legados, integrações internas de empresas e apps de IoT transmitem dados em texto puro com mais frequência do que você imagina.
- Captive portal falso. O atacante monta uma página de login idêntica à do hotel ou aeroporto. Você digita e-mail e senha pensando que aceita os termos de uso. Na verdade, está entregando suas credenciais a um desconhecido.
- Fingerprinting. Volume de tráfego, horários, MAC address e padrão de navegação são metadados suficientes para rastrear e identificar um usuário, mesmo sem ver o conteúdo das páginas.
43% dos respondentes de uma pesquisa da Forbes já tiveram a segurança online comprometida em Wi-Fi público. É razoável supor que boa parte achava que o cadeado no navegador resolvia.
O HTTPS é camada necessária, mas insuficiente. E se até redes com criptografia podem ter vulnerabilidades, o que dizer de quem confia num Wi-Fi cuja senha é “12345678”?
Senha fraca é quase tão ruim quanto sem senha
A rede do vizinho com senha “12345678”. O Wi-Fi do consultório com a senha no quadro da recepção. O roteador que veio com “admin/admin” de fábrica e nunca foi alterado.
Esses cenários são quase tão vulneráveis quanto Wi-Fi sem senha nenhuma.
Quando a rede usa WPA2 com senha fraca, o atacante precisa de apenas um passo a mais: capturar o handshake (a troca inicial de chaves entre dispositivo e roteador) e fazer brute-force offline. Com ferramentas atuais, senhas de 8 dígitos numéricos caem em minutos.
O WPA3 resolve esse problema exigindo interação direta com a rede a cada tentativa de senha, o que torna brute-force offline inviável. Mas a adoção de WPA3, embora chegue a 53% nas redes corporativas globais, ainda está longe de ser universal em pequenos negócios e residências.
A hierarquia de risco, do mais exposto ao mais seguro (confira também dicas de senha para Wi-Fi que fortalecem ainda mais a proteção):
| Cenário | Nível de risco | Por quê |
|---|---|---|
| Wi-Fi sem senha (open) | Crítico | Zero autenticação, zero criptografia no enlace |
| WPA2 + senha fraca | Alto | Handshake capturável, brute-force offline viável |
| WPA2 + senha forte | Médio | Vulnerável ao KRACK se roteador não foi atualizado |
| WPA3 + senha forte | Baixo | Impede brute-force offline, forward secrecy nativo |
| WPA3-Enterprise + 802.1X | Mínimo | Autenticação individual por certificado |
Um detalhe que poucos lembram: o ataque KRACK, demonstrado por Mathy Vanhoef em 2017, provou que até o WPA2, considerado “inquebrável” na época, tinha falha de projeto. Roteadores antigos que nunca receberam patch continuam vulneráveis até hoje.
Pra quem usa: verifique o protocolo da rede antes de confiar. Pra quem oferece: o protocolo do seu roteador define o piso de segurança de todos que conectam nele. E isso leva a um ponto que a maioria dos donos de negócio ignora completamente.
O risco invisível de oferecer Wi-Fi aberto no seu negócio
Restaurante, academia, clínica, hotel. Oferecer Wi-Fi grátis pra clientes virou padrão. Mas oferecer Wi-Fi sem senha e sem registro de acesso é um passivo jurídico esperando acontecer.
Responsabilidade pelo uso da rede
O Marco Civil da Internet (Lei 12.965/2014) determina que o provedor de conexão mantenha registros de acesso. Se alguém usa o Wi-Fi do seu café para atividades ilícitas e você não tem como identificar quem fez, o problema pode ser seu. Como resume o especialista Wally Niz em reportagem do Ministério Público de Mato Grosso: redes abertas facilitam a visualização de informações e a realização de ataques.
Exposição dos dados do próprio negócio
Se a rede de clientes e a rede interna não estão isoladas (e em muitos pequenos negócios, não estão), o atacante conectado no Wi-Fi aberto pode acessar o sistema de gestão, o PDV, câmeras de segurança e pastas compartilhadas. Tudo pelo mesmo link que o cliente usa pra postar stories.
Não conformidade com a LGPD
A LGPD (Lei 13.709/2018) responsabiliza quem trata dados pessoais de forma inadequada. Se o Wi-Fi do seu negócio é o vetor de um vazamento, a Autoridade Nacional de Proteção de Dados pode entender que houve negligência na segurança. E a multa pode chegar a 2% do faturamento.
A saída não é desligar o Wi-Fi. É fazer dele um canal de captura controlado: com captive portal em HTTPS válido, login identificado (e-mail, celular ou login social), isolamento de rede via VLAN, e logs de conexão compatíveis com o Marco Civil. Feito assim, o Wi-Fi para de ser passivo e vira ativo: cada conexão é um lead capturado, um registro legal gerado, uma oportunidade de marketing criada.
Se o seu negócio ainda trata o Wi-Fi como commodity de internet, veja como o Wi-Fi Marketing transforma o hotspot em canal de captura e conformidade.
Mas independente de você oferecer ou usar Wi-Fi, existe um checklist prático que reduz o risco a quase zero. Confira também os cuidados ao utilizar Wi-Fi público em 9 dicas para reforçar sua segurança.
Como se proteger na prática
Pra quem usa Wi-Fi público
- Desative a autoconexão a redes abertas no celular e no notebook. É a configuração mais perigosa que existe no seu dispositivo. Com ela ativa, seu aparelho pode entrar num evil twin sem você perceber.
- Use VPN com kill switch. A VPN cria um túnel criptografado entre seu dispositivo e o servidor. O atacante vê apenas dados cifrados. O kill switch corta a conexão se a VPN cair, evitando vazamento acidental.
- Confirme o nome exato da rede com o estabelecimento. “Wi-Fi_Grátis_Aeroporto” pode não ser do aeroporto. Pergunte ao atendente qual SSID é o correto.
- Verifique o cadeado HTTPS e o certificado do captive portal. Se a página de login pede dados e o endereço não tem HTTPS válido, não digite nada.
- Evite banco, e-mail corporativo e apps sensíveis em Wi-Fi aberto. Se precisar, use dados móveis (4G/5G). A conexão celular é criptografada por padrão e muito mais difícil de interceptar.
- Mantenha sistema e apps atualizados. A janela de exploração de vulnerabilidades caiu para 24 horas. Patch atrasado é porta aberta.
Pra quem oferece Wi-Fi no negócio
- Use WPA3 em todos os pontos de acesso. Se o hardware não suporta, é hora de substituir.
- Implante captive portal com HTTPS válido e login identificado: e-mail, celular ou login social. Isso cria o registro de acesso exigido pelo Marco Civil e pela LGPD. E, de quebra, gera base de leads qualificados.
- Isole a rede de clientes da rede interna com VLANs separadas. Um visitante nunca pode ter acesso ao seu sistema de gestão ou ao PDV.
- Mantenha logs de conexão: quem conectou, quando, por quanto tempo. Esses registros protegem o negócio em caso de incidente ou exigência legal.
- Monitore dispositivos conectados. Picos anormais de conexão ou BSSID duplicado são sinais de que alguém montou um evil twin na sua rede.
Se montar essa estrutura parece complexo, é porque feito manualmente, é mesmo. Fale com nosso time sobre como transformar o Wi-Fi do seu estabelecimento em canal seguro, legalizado e que gera resultado de marketing no automático.
Para empreendedores com orçamento limitado, veja também: como empreender sem investimento.
Perguntas frequentes
Wi-Fi sem senha é perigoso mesmo se eu só abro redes sociais?
Sim. Redes sociais usam cookies de sessão que podem ser sequestrados via Man-in-the-Middle em rede aberta. Com o cookie, o atacante acessa seu perfil sem precisar da sua senha. Fotos, mensagens privadas e dados pessoais ficam expostos.
VPN gratuita protege em Wi-Fi público?
Depende. Muitas VPNs gratuitas têm vazamento de DNS, vendem dados de navegação ou injetam anúncios. Prefira VPNs com reputação verificada em testes independentes e que ofereçam kill switch e política de zero logs. VPN gratuita de procedência duvidosa pode ser pior que não usar nenhuma.
O dono do estabelecimento pode ser processado por uso criminoso do Wi-Fi?
Pode. O Marco Civil da Internet exige que provedores de conexão mantenham registros de acesso. Sem logs de quem conectou, o estabelecimento pode ser responsabilizado. Captive portal com login identificado resolve essa exigência e ainda gera conformidade com a LGPD.
Qual a diferença entre Wi-Fi de hotel e Wi-Fi completamente aberto?
Wi-Fi de hotel geralmente tem captive portal com login por quarto, mas o transporte até o portal costuma ser aberto. Além disso, muitos hotéis não isolam clientes na mesma rede. O risco é menor que uma rede totalmente aberta, mas ainda existe. Use VPN em qualquer Wi-Fi que não seja o seu.
WPA3 resolve todos os problemas de segurança do Wi-Fi?
Resolve os principais no enlace: criptografia individual por sessão e proteção contra brute-force offline. Mas não protege contra evil twin se o atacante montar um ponto de acesso falso. A combinação WPA3 + VPN + captive portal seguro é o que mais se aproxima de risco zero hoje.
Posso usar o Wi-Fi do shopping pra acessar meu banco?
Tecnicamente possível, mas desaconselhado por especialistas de segurança e pelo próprio Santander. Se precisar acessar o banco fora de casa, prefira dados móveis (4G/5G) ou uma VPN confiável com kill switch ativo.
