Wi-Fi público falso: como o ataque evil twin rouba suas senhas

Você está no aeroporto, voo atrasado, bateria no limite. Vê a rede "AeroportoFree" disponível — a mesma que você usa nesse terminal toda vez — e conecta sem pensar. A trinta metros de distância, alguém com um notebook e um dispositivo do tamanho de um roteador está vendo cada requisição que sai do seu celular. Isso é um ataque evil twin: simples de montar, invisível para a vítima e devastador se você estiver logando em alguma coisa.

O que é o ataque evil twin

Evil twin — "gêmeo do mal" — é uma rede Wi-Fi falsa que imita uma legítima ponto por ponto. O atacante copia o nome (SSID) exato da rede original e anuncia o mesmo identificador, muitas vezes com sinal mais forte para atrair os dispositivos próximos. Do ponto de vista do seu celular ou notebook, é impossível distinguir as duas: ambas aparecem com o mesmo nome, e o protocolo Wi-Fi (802.11) não exige nenhum certificado de autenticidade por parte do ponto de acesso.

É um ataque de man-in-the-middle por design: todo tráfego da vítima passa pelo equipamento do atacante antes de chegar à internet real. O que não está criptografado, ele vê em texto plano. O que está criptografado com HTTPS, ele pode tentar forçar para HTTP usando ferramentas de downgrade — ou simplesmente registrar para análise posterior.

Como o ataque funciona na prática

O setup básico exige três coisas: uma interface Wi-Fi que suporte modo AP (access point), software para anunciar o SSID falso — ferramentas como Hostapd, ou hardware dedicado como o Wi-Fi Pineapple — e uma conexão de saída (3G/4G do próprio celular do atacante basta).

O fluxo típico:

1. Reconhecimento: o atacante escaneia o ambiente, anota o SSID da rede legítima e o canal em que opera.
2. Clone: sobe um ponto de acesso com o mesmo SSID. Pode usar o mesmo canal para confundir ou um canal adjacente com sinal mais alto.
3. Deautenticação forçada (opcional, mas comum): envia pacotes de desautenticação (frames 802.11 não autenticados, porque o padrão original não exigia assinatura) para desconectar os dispositivos da rede legítima. Ao reconectar, o dispositivo da vítima escolhe o sinal mais forte — o falso.
4. Captive portal falso: muitas redes públicas exibem uma página de "aceite os termos" antes de liberar o acesso. O atacante clona essa página e usa para capturar credenciais — às vezes a senha do e-mail ou da conta do shopping, sob o pretexto de "login com seu perfil".
5. Interceptação de tráfego: com a vítima conectada, o atacante monitora em tempo real: cookies de sessão, formulários sem HTTPS, consultas DNS, headers HTTP.

O que o atacante consegue capturar

Depende do que você faz durante a conexão. Em cenário pior:

• Credenciais em sites sem HTTPS (ainda existem, especialmente portais antigos de serviços públicos e câmeras IP).
• Cookies de sessão em sites que separam autenticação (HTTPS) de navegação (HTTP) — permite sequestro de sessão sem conhecer a senha.
• Consultas DNS não criptografadas: revelam quais domínios você acessa mesmo sem ver o conteúdo. Se você usa DNS over HTTPS, esse vetor é bloqueado — algo que explicamos no post sobre NextDNS e DNS criptografado.
• Credenciais do captive portal falso: e-mail, CPF, senha — o dado que você digita para "entrar na rede".
• Tráfego de apps mobile que não fixam certificado (certificate pinning): alguns aplicativos mais antigos ainda transmitem dados sensíveis sem validar corretamente o certificado do servidor.

Como saber se estou conectado a um Wi-Fi falso?

Tem como detectar um evil twin em tempo real?

Na prática, não — não de forma confiável pelo usuário leigo. O SSID é idêntico ao legítimo, o sinal pode ser mais forte, e o acesso à internet funciona normalmente (o tráfego só passa pelo atacante no meio). Algumas pistas circunstanciais:

• O captive portal pede dados além do usual — senha de e-mail, CPF ou conta bancária são red flags imediatas. Portais legítimos pedem aceite de termos, no máximo um e-mail de contato.
• O certificado HTTPS do portal expira hoje ou é autoassinado — o navegador exibe aviso. Nunca ignore avisos de certificado em redes públicas.
• Você foi desconectado abruptamente da rede que já estava usando e reconectou sem escolher manualmente — pode ser sinal de deauth attack.
• O endereço MAC do gateway (verificável por arp -a ou apps como Network Analyzer) mudou em relação à visita anterior.

Mas essas pistas exigem atenção ativa. A proteção real é preventiva — não reativa.

Como se proteger do ataque evil twin

Use VPN sempre em rede pública. É a proteção mais efetiva: mesmo que você caia num evil twin, todo o tráfego sai criptografado do seu dispositivo antes de chegar ao ponto de acesso falso. O atacante vê bytes cifrados, não seus dados. Cloudflare WARP (gratuito), Mullvad e ProtonVPN são opções sólidas.

Desative a reconexão automática a redes abertas. No Android: Configurações → Wi-Fi → Preferências de rede → desmarque "Conectar automaticamente". No iOS: toque no ícone (i) da rede salva e desative "Conexão automática". Sem esse ajuste, seu dispositivo conecta sozinho ao clone sem você perceber.

Prefira o hotspot do celular. Dados móveis têm custo, mas não têm atacante no meio. Para trabalho remoto em aeroporto ou hotel, compartilhar a conexão 4G/5G do celular é o padrão mais seguro — e o que as equipes de OPSEC real recomendam.

Confirme o SSID com a equipe do local. Parece básico, mas funciona: antes de conectar ao "Shopping_WiFi" pergunte a um atendente qual é o nome exato da rede. Atacantes raramente conseguem saber o nome interno específico usado pelo estabelecimento.

Force HTTPS em tudo. Use a extensão HTTPS Everywhere (disponível para Chrome e Firefox) ou ative o modo HTTPS-only nativo dos navegadores. Sites com HTTPS devidamente implementado e HSTS resistem à interceptação mesmo em redes comprometidas.

Não ignore avisos de certificado. Se o navegador avisar que o certificado do site é inválido enquanto você está em rede pública, desconecte imediatamente. É sinal claro de que alguém está tentando interceptar a comunicação.

E em casa, preciso me preocupar?

Em redes domésticas o risco de evil twin é muito menor — o atacante precisaria estar no alcance físico do seu roteador. Mas a lógica se aplica: roteadores mal configurados com SSID padrão de fábrica são mais fáceis de clonar porque o atacante já sabe o nome. Personalizar o SSID, desativar WPS e configurar corretamente o roteador são passos que cobrimos no guia de hardening de roteador Wi-Fi doméstico.

Conclusão

O evil twin é um dos ataques mais baratos e silenciosos em redes públicas. Não exige vulnerabilidade de software, não dispara antivírus, e a vítima navega normalmente até perceber — tarde demais — que as credenciais foram capturadas. A defesa não é detectar o ataque em tempo real, porque isso é quase impossível sem ferramentas especializadas. A defesa é tornar o tráfego inútil pro atacante: VPN ativa, HTTPS obrigatório, reconexão automática desligada. Se quiser aprofundar a camada de privacidade além do Wi-Fi, o guia sobre OPSEC e privacidade digital cobre os próximos passos.