Um ponto de acesso móvel (hotspot) mal protegido, regra geral, não dá nenhum sinal de avaria. Liga-se, os aparelhos entram, a internet funciona. Os sinais de um ponto de acesso mal protegido existem, mas a diferença não se vê na velocidade: vê-se numa linha das definições que pouca gente volta a abrir depois de a escolher pela primeira vez.
Este artigo reúne esses sinais — os que indicam que a cifragem do teu ponto de acesso pode ser fraca, ou nem sequer existir —, explica o que significam, onde se observam e o que fazer quando encontras um. Em linguagem técnica chamam-se indicadores de compromissão, ou IOC (Indicators of Compromise): vestígios que sugerem que uma proteção não está a fazer o seu trabalho. A cifragem, neste contexto, é o mecanismo que torna ilegível, para quem anda por perto, o tráfego que passa por rádio entre o telemóvel e os aparelhos ligados.
É o lado de diagnóstico da recomendação sobre a cifragem do ponto de acesso móvel: escolher o WPA3, ou pelo menos o WPA2, é a prevenção; reconhecer os sinais é a maneira de saber se essa escolha continua no lugar. E, para perceber de onde vêm estes sinais, os mecanismos estão descritos no artigo sobre os ataques à cifragem do Wi-Fi.
Nota de variante: este texto está em português europeu. Onde se lê palavra-passe, no Brasil diz-se senha; telemóvel é celular e definições são configurações.
O que são os sinais de um ponto de acesso mal protegido
Um indicador de compromissão é um vestígio observável que sugere que alguma coisa não correu como devia.
Não é uma prova. É um sinal que merece uma verificação. Um aviso de «rede não segura» no computador pode dever-se a uma definição escolhida há anos para ligar um aparelho antigo, ou a uma atualização que repôs o ponto de acesso nos valores de fábrica.
No caso da cifragem, os indicadores assinalam uma porta deixada aberta, não necessariamente alguém que entrou. Dar por isso cedo significa fechá-la antes que alguém a use.
Porque é que contam mais numa rede que levas contigo
A rede de casa fica quieta entre as tuas paredes. O ponto de acesso, pelo contrário, viaja contigo: no comboio, na sala de espera, no café, num hotel, numa biblioteca. Ou seja, exatamente nos sítios onde, a poucos metros, há pessoas e aparelhos que não conheces.
O sinal do teu ponto de acesso chega a qualquer pessoa num raio de algumas dezenas de metros. Recebê-lo não chega para ler o conteúdo: é a cifragem que decide se fica incompreensível ou se se torna legível.
E as definições do ponto de acesso escolhem-se uma vez e esquecem-se: uma mudança feita «só por um instante» pode ficar ativa durante meses. Por isso os sinais leem-se com uma pergunta em mente: quando é que verifiquei pela última vez o tipo de segurança do meu ponto de acesso? Se não te lembras, qualquer indício merece uma olhadela.
Indicadores técnicos
São os que o telemóvel mostra nas definições do ponto de acesso, na opção que, conforme o sistema, se chama «segurança», «tipo de segurança» ou «proteção». Alguns aparecem também nos outros aparelhos, quando procuram a tua rede.
| Indicador | O que significa | Porque é relevante | Onde se observa | O que fazer |
|---|---|---|---|---|
| Segurança definida como «nenhuma» ou «aberta» | O ponto de acesso não usa cifragem nem palavra-passe | Qualquer pessoa ao alcance do sinal se pode ligar, e o tráfego viaja às claras, ou seja, legível | Definições do ponto de acesso, opção «segurança» | Escolhe o WPA3 ou o WPA2 e define já uma palavra-passe robusta |
| Segurança definida como WEP | O ponto de acesso usa o WEP (Wired Equivalent Privacy), o sistema de proteção mais antigo | As fraquezas dele são conhecidas há muitos anos e contornam-se com facilidade | Definições do ponto de acesso; raramente aparece nos telemóveis recentes | Passa para o WPA3 ou o WPA2; se o telemóvel só oferecer WEP, evita usar o ponto de acesso para dados importantes |
| Segurança definida como «WPA», sem número | É a primeira versão do WPA (Wi-Fi Protected Access), criada como solução provisória | Hoje é considerada ultrapassada e não dá as garantias do WPA2 e do WPA3 | Definições do ponto de acesso, lista das opções de segurança | Seleciona o WPA2 ou o WPA3 |
| A indicação TKIP ao lado do tipo de segurança | O TKIP é o método de cifragem do primeiro WPA, às vezes ainda proposto por compatibilidade | É um método declarado obsoleto; a cifragem certa para o WPA2 chama-se AES | Definições avançadas do ponto de acesso, detalhes da rede no computador | Escolhe o WPA2 com AES, ou o WPA3 |
| Aviso de rede não segura nos outros aparelhos | O computador ou o tablet dizem «rede não segura», «segurança fraca» ou semelhante ao ligar-se | O aparelho reconheceu uma proteção inexistente ou ultrapassada | Lista das redes Wi-Fi, notificação no momento da ligação | Verifica a opção «segurança» do ponto de acesso no telemóvel |
| Rede sem cadeado na lista do Wi-Fi | Nos outros aparelhos, o nome do teu ponto de acesso aparece sem o ícone do cadeado | Muitos sistemas usam o cadeado para indicar uma rede protegida por palavra-passe | Lista das redes disponíveis no computador ou noutro telemóvel | Verifica as definições: se a proteção estiver em «nenhuma», muda-a |
| Aparelhos que se ligam sem pedir a palavra-passe | Um aparelho novo entra na rede sem ninguém escrever nada | Se o aparelho nunca tinha visto a rede, a proteção está provavelmente desativada | Primeira ligação de um aparelho que nunca usou o teu ponto de acesso | Verifica o tipo de segurança e muda a palavra-passe |
| Definições diferentes das que escolheste | O tipo de segurança, o nome ou a palavra-passe não são os que te lembras | Uma atualização, um restauro ou a passagem para um telemóvel novo podem ter mudado as escolhas | Definições do ponto de acesso, depois de uma atualização ou de uma troca de telemóvel | Repõe a proteção mais robusta disponível |
Um esclarecimento sobre um caso frequente: se aparecer «WPA2/WPA3» ao lado do ponto de acesso, não é sinal de fraqueza. É um modo de transição que usa o WPA3 com os aparelhos que o suportam e o WPA2 com os mais antigos. O mecanismo está explicado no artigo sobre como funciona o WPA3.
Sinais que podes observar tu mesmo
Não exigem abrir menus avançados: notam-se usando o telemóvel e os outros aparelhos como fazes todos os dias.
| Sinal | O que significa | Porque é relevante | Como dás por ele | O que fazer |
|---|---|---|---|---|
| Desligações repetidas de todos os aparelhos | A rede cai várias vezes e todos os aparelhos ligados se desligam ao mesmo tempo | Muitas vezes depende do sinal móvel, mas em redes com proteção ultrapassada alguém nas proximidades pode provocar desligações | Páginas que não carregam, videochamadas interrompidas, aparelhos que voltam a ligar-se sem parar | Verifica o sinal e o tipo de segurança; se usares WPA ou WEP, passa para o WPA2 ou o WPA3 |
| Aparelhos desconhecidos na lista dos ligados | Alguém que não autorizaste está a usar o teu ponto de acesso | Com uma proteção inexistente ou fraca, entrar é mais fácil | Lista dos aparelhos ligados nas definições do ponto de acesso | Segue os passos do artigo sobre os dispositivos desconhecidos no ponto de acesso e verifica também a cifragem |
| Alguém te diz que a tua rede está «aberta» | Uma pessoa ao lado vê o teu ponto de acesso sem proteção | Quem o vê aberto também se pode ligar | Um colega ou um amigo chama-te a atenção | Abre já as definições e verifica a opção «segurança» |
| Um aparelho recente não se consegue ligar | Alguns sistemas atualizados recusam, ou desaconselham, as redes com proteção ultrapassada | É o próprio aparelho a dizer que a proteção é demasiado antiga | Mensagem de erro ou aviso durante a ligação, com a palavra-passe certa | Verifica o tipo de segurança: provavelmente é WEP ou WPA com TKIP |
| Avisos sobre os certificados dos sites enquanto estás no ponto de acesso | O browser diz que a ligação a um site conhecido não é privada | É um sinal a não ignorar: pode indicar uma tentativa de intercetar o tráfego | Página de aviso em vez do site, só quando estás ligado ao ponto de acesso | Não avances nem introduzas dados; desliga-te e verifica a cifragem do ponto de acesso |
Uma cifragem fraca e uma palavra-passe fraca somam-se: por isso as duas verificações fazem-se juntas.
Um exemplo concreto
A Sara trabalha muitas vezes no comboio, com o computador ligado ao ponto de acesso do telemóvel. Há uns meses, numa visita a casa do pai, em Viseu, teve de ligar um tablet antigo que não aceitava a palavra-passe. Para resolver depressa, mudou a segurança do ponto de acesso para a opção «mais compatível» que o telemóvel lhe propunha.
Desde então, sempre que o computador se liga ao ponto de acesso, aparece um aviso: «esta rede usa uma norma de segurança menos recente». A Sara fecha-o sem o ler.
Um dia, no comboio, a ligação cai três vezes em meia hora, e de cada vez todos os aparelhos dela se desligam ao mesmo tempo. A Sara pensa nos túneis. Depois, um colega sentado ao lado, à procura de uma rede, pergunta-lhe porque é que o ponto de acesso dela aparece como «não protegido».
Abre as definições: a segurança está em WPA com TKIP. Não há nenhum aparelho estranho na lista dos ligados, nem sinal de que alguém tenha lido alguma coisa. Mas durante meses o tráfego dela viajou com uma proteção ultrapassada, numa carruagem cheia de desconhecidos. A Sara escolhe o WPA2/WPA3, muda a palavra-passe e volta a ligar o computador: o aviso desaparece. Para o tablet do pai, velho demais, encontra outra solução — uma pen com os ficheiros de que ele precisava.
Cada sinal, sozinho, tinha uma explicação inocente. Juntos, contavam uma história.
O que verificar já
Nas definições do ponto de acesso
- o tipo de segurança: que não seja «nenhuma», WEP ou WPA sem número;
- a cifragem, se o telemóvel a mostrar: AES e não TKIP;
- a presença de uma opção de «compatibilidade» ou de «aparelhos mais antigos» ativada no passado;
- a palavra-passe: que exista, e que seja longa e não partilhada com demasiadas pessoas.
Nos outros aparelhos
- se aparece um aviso de rede não segura ou de segurança fraca quando se ligam;
- se o nome do teu ponto de acesso, na lista das redes, tem o cadeado;
- nos detalhes da rede no computador, que tipo de segurança é indicado.
Se encontrares um indicador suspeito
- Escolhe a proteção mais robusta disponível. WPA3 se todos os teus aparelhos o suportarem, caso contrário WPA2/WPA3; se o telemóvel só oferecer WPA2, escolhe-o com AES. Os passos estão no artigo sobre como ativar o WPA3.
- Muda a palavra-passe do ponto de acesso. Se a rede esteve aberta ou fraca, não tens maneira de saber quem a viu. Para a escolheres bem, vale o que se explica na recomendação sobre a palavra-passe do ponto de acesso móvel.
- Volta a ligar só os teus aparelhos, um de cada vez, e confirma que o aviso de rede não segura desapareceu.
- Mantém o telemóvel e os aparelhos atualizados. O suporte ao WPA3 chega muitas vezes com as atualizações: é uma das razões para manter o software atualizado.
- Se a rede esteve aberta muito tempo, revê as atividades mais delicadas feitas entretanto: inícios de sessão em contas importantes, dados introduzidos em sites sem ligação cifrada — o motivo pelo qual vale a pena ligar-se apenas através de HTTPS. Onde tiveres dúvidas, muda as palavras-passe dessas contas.
O que não é um indicador
Distinguir evita dois erros opostos: preocupar-se por nada e habituar-se a ignorar os sinais verdadeiros.
| Situação | Porque é que normalmente não é um sinal |
|---|---|
| O telemóvel mostra «WPA2/WPA3» em vez de «WPA3» | É o modo de transição, pensado para fazer conviver aparelhos novos e menos recentes: a proteção continua robusta |
| O telemóvel só oferece WPA2, não WPA3 | Muitos telemóveis menos recentes não suportam WPA3; o WPA2 com AES e uma palavra-passe robusta continua a ser uma proteção válida |
| Um aparelho antigo não se liga depois da passagem para o WPA3 | Não suporta a norma mais recente: é um limite do aparelho, não um ataque |
| Desligações num túnel, no campo ou em andamento | Um sinal móvel fraco faz cair a ligação de todos, seja qual for a cifragem |
| O aviso «rede não segura» numa rede pública a que te ligaste no passado | Diz respeito a essa rede, não ao teu ponto de acesso: verifica o nome antes de te preocupares |
| Um aparelho teu liga-se sem pedir a palavra-passe | Se já se tinha ligado antes, tem a palavra-passe guardada: é o comportamento normal |
A regra prática: um sinal isolado merece uma olhadela à opção «segurança»; dois sinais juntos justificam mudar a proteção e a palavra-passe.
De quanto em quanto tempo verificar
Não é precisa uma rotina exigente. É preciso que exista, ligada aos momentos em que as definições podem mudar.
| Quando | O que verificar |
|---|---|
| Quando um aparelho mostra um aviso de rede não segura | O tipo de segurança do ponto de acesso, logo |
| Depois de mudares a segurança para ligar um aparelho antigo | Que a proteção mais robusta foi reposta, no mesmo dia |
| Depois de cada atualização importante do telemóvel | Tipo de segurança, cifragem e palavra-passe: as atualizações podem acrescentar o WPA3 ou alterar as opções |
| Quando trocas de telemóvel | Que o ponto de acesso do telemóvel novo não ficou com as definições de fábrica |
Associar a verificação a um gesto que já fazes funciona melhor do que qualquer boa intenção.
Duas advertências importantes
Um indicador não é uma prova. Um aviso de rede não segura diz que a proteção é fraca, não que alguém leu o teu tráfego. As desligações têm quase sempre causas banais. Verifica antes de tirar conclusões — mas verifica sempre.
A ausência de indicadores não é uma garantia. Uma boa cifragem protege o troço por rádio entre o telemóvel e os aparelhos ligados, não tudo o resto. É por isso que a proteção assenta em várias camadas: WPA3 ou WPA2 com uma palavra-passe robusta, sites em HTTPS, prudência com os dados sensíveis quando estás em sítios cheios de gente. Para as redes que não controlas, valem as indicações sobre os dados sensíveis em redes Wi-Fi públicas e sobre a VPN para o tráfego confidencial. Os indicadores ajudam a intervir depressa; não decidem se vale a pena proteger-te.
Ligação ao Framework Cyber Welfare
Ler os sinais de um ponto de acesso mal protegido é uma competência de autonomia: reconhecer o que o telemóvel e o computador estão a dizer, sem precisar de ajuda para agir.
| Pilar | Contributo deste conteúdo |
|---|---|
| Competências | Saber ler a opção «segurança» do ponto de acesso e reconhecer as opções ultrapassadas: nenhuma, WEP, WPA, TKIP |
| Consciência | Perceber que o ponto de acesso viaja pelos sítios mais cheios e que a cifragem é o que separa o teu tráfego de quem está ao lado |
| Comportamento Seguro | Não fechar sem ler o aviso de rede não segura, e repor logo a proteção depois de cada exceção |
Níveis de maturidade digital.
- FL1 – Básico. Fechas os avisos de rede não segura sem os ler e nunca abriste a opção «segurança».
- FL2 – Inicial. Sabes onde está a opção «segurança» e reconheces «nenhuma» e WEP como sinais claros.
- FL3 – Autónomo. Reconheces um sinal, distingue-lo dos falsos alarmes e ages em conformidade sem apoio externo. É o nível de referência deste artigo.
- FL4 – Hábil. Cruzas vários sinais — desligações, avisos, aparelhos desconhecidos — e sabes quando justificam mudar também as palavras-passe das contas.
- FL5 – Especialista-Guia. Ajudas colegas e familiares a ler estes sinais e a não se habituarem a fechar os avisos.
Conclusão
Reconhecer um ponto de acesso mal protegido não significa desconfiar de todas as notificações. Significa saber que linha olhar.
O passo de hoje. Abre as definições do ponto de acesso e olha para a opção «segurança». Se leres «nenhuma», WEP, WPA ou TKIP, muda-a: basta um minuto. Se leres WPA3 ou WPA2, ficas a saber que esta verificação é rápida e podes repeti-la depois da próxima atualização.
Lista breve
- ☐ A opção «segurança» não está em «nenhuma», WEP, WPA sem número ou TKIP
- ☐ Nenhuma opção de «compatibilidade» ficou ativa sem necessidade
- ☐ Os outros aparelhos não mostram avisos de rede não segura
- ☐ O nome do ponto de acesso aparece com cadeado na lista das redes
- ☐ Revi a definição depois da última atualização ou troca de telemóvel
Para perceberes em que ponto estás também nos outros aspetos da tua segurança digital, podes fazer a Autoavaliação de Resiliência Digital.
Recursos relacionados
No glossário, duas entradas curtas que completam estes sinais:
- ataque man-in-the-middle — o ataque que alguns destes sinais, como os avisos de certificado, podem denunciar
- firewall — o filtro do router de casa, onde se leem sinais parecidos
Conteúdos relacionados
- cifragem do ponto de acesso móvel — a recomendação de referência
- ataques à cifragem do Wi-Fi — os mecanismos que geram estes sinais
- ativar o WPA3 — o que fazer, pela ordem certa
- impacto de uma cifragem Wi-Fi fraca — o que é atingido quando um sinal se confirma
- dispositivos desconhecidos no ponto de acesso — os sinais ligados à palavra-passe, da unidade R14
Dá o primeiro passo: o Programa «Protege a Tua Privacidade Digital» acompanha-te gratuitamente, uma recomendação de cada vez.
