A internet tomou conta do mundo e, hoje, poucos são verdadeiramente capazes de dizer que vivem sem estar conectados. Com a constante demanda, a crescente oferta de redes de Wi-Fi gratuitas pode parecer algo sempre bem-vindo.
Seja durante o expediente, no horário do almoço, durante uma viagem ou até mesmo caminhando pela rua, poucas são as horas em que os usuários não se deparam com uma variedade de opções de “hotspots” dos quais podem desfrutar.
Se você é uma das pessoas que não perde uma chance de se conectar às muitas opções gratuitas de internet que existem hoje, fique atento! Junto com a maior praticidade e conveniência, também estão associados maiores riscos.
As redes públicas de Wi-Fi apresentam sérias ameaças à segurança e a privacidade dos seus usuários, mesmo entre aquelas poucas que ainda exigem senhas.
1. Em uma Wi-Fi pública, seus dados estão expostos para todos
Quando alguém se conecta a uma rede de Wi-Fi, há uma troca constante de informações entre os usuários e a rede que estão utilizando. Em uma conexão privada e resguardada por senha, como as WPA2, as informações transmitidas são criptografadas e não podem ser acessadas por alguém que não possui as informações de acesso (nome de usuário e senha) da rede em questão.
Em redes públicas de Wi-Fi, para as quais não se exige senha, as informações dos usuários conectados não costumam ser criptografadas, estando ao alcance de qualquer outra pessoa conectada à mesma rede.
Com alguns softwares especializados, é relativamente simples descobrir por quais sites os usuários estão navegando e quais informações estão sendo fornecidas nos formulários, tais como dados pessoais ou bancários. Um hacker mal-intencionado não apenas pode acessar e coletar seus dados, como pode controlar diretamente o seu computador ou celular.
Um dos tipos mais conhecidos de ataque são os chamados ataques “Man-in-the-Middle” (MitM), em que um invasor se coloca como um interceptador entre o usuário e o servidor que hospeda o site que está sendo visitado.
Em parte considerável dos casos, o golpe é dado por meio de um ataque de phishing, no qual um site falso é mostrado no lugar de um verdadeiro – o seu portal de internet banking, por exemplo.
Acreditando estar no site legítimo, o usuário insere informações sensíveis, como dados pessoais e senhas. Ao invés de enviar suas informações para o servidor do seu banco, por exemplo, o site falso as repassa para um servidor pertencente ao impostor.
A vítima pode, assim, transmitir informações sigilosas, como suas senhas do banco, sem nem sequer se dar conta de que o site que está acessando não é uma versão segura.
2. Em uma Wi-Fi pública com senha (como em um hotel, Airbnb ou WeWork), outros usuários podem acessar seus dados
E nos casos em que a Wi-Fi é utilizada por várias pessoas, mas não é inteiramente pública? É possível confiar plenamente? Esse é comumente o caso de redes de Wi-Fi de ambientes como escritórios e espaços de coworking.
Em um caso que ganhou repercussão na mídia especializada, foi reportado que a rede de escritórios de coworking WeWork, a maior do setor nos Estados Unidos, apresentava uma postura demasiadamente relaxada em relação à segurança das redes de Wi-Fi oferecidas em seus espaços.
Por meio da conexão não protegida utilizada pelos clientes da rede, conseguia-se acessar arquivos confidenciais dos clientes, incluindo transações comerciais, listas de e-mails e, até mesmo, dados bancários. O caso serviu para ilustrar que conexões compartilhadas, mesmo aquelas protegidas por senhas (como era o caso das locações do WeWork), nem sempre são plenamente seguras para seus usuários.
A realidade é que diferentes empresas adotarão procedimentos de segurança diferentes. Similarmente às redes públicas, muitas Wi-Fi de empresas são frequentemente acessadas por pessoas diversas, muitas das quais desconhecidas. Não sendo possível fazer o controle minucioso de quem as acessa, não é possível considerar essas redes como plenamente seguras.
Ainda assim, algumas medidas gerais podem ser adotadas para minimizar as ameaças maiores.
Em primeiro lugar, é importante separar as conexões que serão fornecidas para clientes e/ou visitantes daquelas que servirão para os funcionários da empresa. Ao isolar a rede que terá seus dados de acesso divulgados para um público maior, evita-se que informações internas sigilosas relacionadas às atividades da empresa caiam em mãos desconhecidas.
Outra medida importante é mudar constantemente os dados de acesso, em especial as senhas. Com as constantes mudanças, fecha-se um importante canal de vulnerabilidade, na medida em que a obtenção dessas informações é o primeiro passo para uma invasão premeditada.
Caso a empresa ou profissional não seja responsável pelo fornecimento da internet (situação da maioria dos que ocupam espaços de coworking, como o WeWork), a forma mais eficaz de evitar que seus dados sejam cooptados por meio da Wi-Fi compartilhada é utilizar serviços de VPN, que criptografam seus dados e os tornam inelegíveis para possíveis “bisbilhoteiros”.
Mesmo para aqueles que estão protegidos durante as horas de trabalho, as folgas também apresentam seus riscos. Os viajantes que utilizam aplicativos de aluguel por temporada, como o Airbnb, também se deparam com conexões compartilhadas potencialmente inseguras.
Assim como em hotéis e pousadas, as redes de Wi-Fi dos quartos e apartamentos são utilizadas por inúmeros hóspedes, dificultando a garantia de que ninguém utilizará a rede compartilhada para fins maléficos.
Ao contrário de hospedarias maiores, porém, as chances de uma hospedagem por temporada, como ocorre nas locações do Airbnb contar com uma política adequada de segurança para a internet particular do proprietário são consideravelmente menores.
Até mesmo medidas simples de resguardo, como trocar a senha da Wi-Fi regularmente, não costumam ser implementadas pelos particulares que administram o local onde os viajantes se hospedam.
No pior cenário, o próprio proprietário do quarto ou apartamento pode utilizar a Wi-Fi local para infringir a privacidade dos seus usuários. Escândalos como os recentes envolvendo câmeras escondidas e o Airbnb mostram que casos assim são comuns o suficiente para levar as companhias a estabelecerem políticas específicas referentes à privacidade dos hóspedes.
3. Alguém utilizando um Wi-Fi Pineapple pode acessar suas informações
Uma das formas mais controversas de performar um ataque MitM é por meio de um equipamento conhecido como Wi-Fi Pineapple (“abacaxi de Wi-Fi”, em português). O Pineapple foi originalmente desenvolvido como uma ferramenta de testes, utilizada por profissionais (os chamados “pentesters”) para testar o quão vulnerável uma rede está a tentativas de invasão.
Apesar das suas origens benévolas, seus críticos apontam para o fato de que o equipamento pode ser facilmente utilizado para fins questionáveis. O preço acessível e a facilidade de uso potencializam o número de hackers amadores que podem usar o Pineapple para realizar ataques MitM.
Mas como o Pineapple funciona exatamente? O equipamento opera como uma espécie de roteador, o qual pode se passar por uma outra rede Wi-Fi. Todo equipamento que se conecta à “cópia” feita pelo Pineapple comunica seus dados por meio dele.
Caso o hacker tenha acesso às informações de acesso (nome de usuário e senha) de uma Wi-Fi, ele pode configurar o Pineapple para se conectar a todos os dispositivos que memorizaram a rede para se conectar automaticamente a ela.
Enquanto isso representa um baixo risco para a Wi-Fi da sua casa, para redes públicas ou com muitos usuários, a ameaça de ataques MitM por Pineapple é constante e presente.
4. Utilizar uma VPN é a melhor forma de proteção para quem utiliza redes públicas de Wi-Fi
Depois de descobrir todas as formas pelas quais utilizar uma Wi-Fi pública pode ser perigosa para a segurança dos usuários, é compreensível que muitos tenham a pretensão de nunca mais se conectar a redes desse tipo.
Enquanto essa é uma boa resolução, ainda é possível se deparar com situações em que se conectar à Wi-Fi pública é necessário por uma questão de urgência. Nesses casos, como garantir que a conexão seja segura?
Uma forma bastante simples de garantir que você não está enviando dados sensíveis por meio de páginas falsas é observar se o site que você está acessando utiliza o protocolo HTTPS.
De maneira resumida, o protocolo HTTPS significa que todas as informações repassadas ao site estão sendo criptografadas e, portanto, não poderão ser decifradas por “bisbilhoteiros”.
No entanto, ainda existem maneiras de se driblar a encriptação por HTTPS. Dispositivos Pineapple, por exemplo, podem forçar as páginas a se conectar por meio de protocolos HTTP, que não contam com encriptação. Dessa forma, conseguem acessar os dados dos usuários, mesmo em sites que oferecem conexões seguras.
Uma forma mais garantida de navegar com segurança é utilizando um serviço de VPN. Uma boa VPN utiliza criptografia para transmitir os seus dados de forma segura para servidores externos, protegendo a sua conexão de quaisquer terceiros que tentem acessar suas informações.
Você pode entender um pouco melhor como você ficará protegido ao ler a nossa introdução aos serviços de VPN.
Para os que estão em constante movimento e talvez tenham que utilizar a Wi-Fi pública do aeroporto, uma boa pedida é conferir as nossas dicas de melhores VPNs para viajantes, nômades digitais e jornalistas.
Siga a gente no Telegram!