In sintesi
- La maggior parte dei siti web e delle app ora cripta il traffico tra te e loro per impostazione predefinita — quindi uno sconosciuto al bar non può leggere la tua password bancaria come avrebbe potuto fare dieci anni fa.
- I rischi reali più grandi sul Wi-Fi pubblico oggi sono le reti false create per indurti a connetterti e le pagine di phishing che ti vengono mostrate una volta online.
- Una VPN aiuta con alcune cose — soprattutto la privacy dall'operatore di rete — ma non è uno scudo magico. Usare i dati mobili del tuo telefono è spesso più sicuro e semplice di qualsiasi VPN sul Wi-Fi dell'hotel.
- Prima di partire: aggiorna tutto, attiva il 2FA sui conti che userai, imposta un blocco schermo che usi davvero, e decidi cosa lasciare a casa.
- Alla frontiera, in transito e negli hotel, le minacce sono per lo più fisiche (furto) e sociali (shoulder surfing, truffe), non hacking sofisticato.
Cos'è
Il Wi-Fi pubblico è qualsiasi rete wireless che non controlli tu: bar, hotel, aeroporto, lounge della compagnia aerea, conferenza, centro commerciale, mezzi pubblici. Comprende anche il "Free Wi-Fi" che vedi alle stazioni di servizio, nelle stazioni ferroviarie e nella maggior parte delle piazze pubbliche delle grandi città.
Per anni il consiglio standard era: non usare mai il Wi-Fi pubblico per nulla di importante. Il ragionamento era che l'operatore di rete — o chiunque altro sulla stessa rete — poteva vedere il tuo traffico. Quel rischio non è scomparso, ma si è ridotto molto.
Il motivo: quasi ogni sito e app seria usa ora HTTPS. Il lucchetto nella barra degli indirizzi del browser significa che la conversazione tra il tuo dispositivo e il sito è cifrata. Anche su una rete ostile, uno sconosciuto può vedere che sei andato sulla tua banca, ma non cosa hai digitato lì. La maggior parte delle app mobili funziona allo stesso modo.
Cosa resta quindi di cui preoccuparsi?
Cosa va davvero storto sul Wi-Fi pubblico
Principalmente tre cose.
1. Reti false (evil twin). Chiunque con attrezzatura da circa 30 € può trasmettere una rete chiamata "Hotel Lobby Wi-Fi" o "Free Café Wi-Fi" — abbastanza simile alla vera da farti connettere per errore. Una volta connesso, l'attaccante può mostrarti false pagine di accesso, intercettare quello che non è cifrato e tentare di installare aggiornamenti dannosi sul tuo dispositivo. La difesa più semplice: conferma il nome esatto della rete con il personale prima di connetterti, e preferisci reti che richiedono una password stampata all'interno del locale.
2. Pagine di phishing nei portali captive. Un "portale captive" è la pagina che compare chiedendoti di "accedere" prima di ottenere Internet. Alcuni sono legittimi (accetta solo i termini e continua). Alcuni chiedono il tuo indirizzo e-mail — venduto a broker di dati. Alcuni chiedono i dati della carta di credito — di solito una truffa. Alcuni fingono di essere un "controllo di sicurezza Microsoft" o un "aggiornamento di sistema" — decisamente una truffa. Non inserire mai una vera password in un portale captive. Non scaricare mai un "aggiornamento" che ti propone.
3. Dispositivi che si segnalano. Il tuo telefono, laptop e orologio si annunciano alle reti che ricordano ("Sei il Wi-Fi di casa?"). Un attaccante nelle vicinanze può falsificare il nome della tua rete domestica e il tuo dispositivo si connetterà volentieri. La soluzione è piccola ma importante: dimentica le reti di cui non hai più bisogno e non abilitare la connessione automatica per nessuna rete nascosta o aperta.
Nota cosa non c'è in questa lista: qualcuno al tavolo vicino che legge la tua password mentre la digiti. È una vecchia preoccupazione. Oggi, molte più compromissioni arrivano da un'e-mail di phishing che avresti ricevuto ovunque che dalla rete a cui sei connesso.
E le VPN?
Una VPN (Virtual Private Network) invia il tuo traffico attraverso un tunnel cifrato verso un server altrove, poi su Internet normale da lì. È utile per:
- Nascondere il fatto che stai usando servizi specifici dalla rete locale o dal tuo ISP — utile nei paesi che bloccano certi siti, o su una rete hotel di cui non vuoi che registri il tuo traffico per destinazione.
- Far credere di essere in un altro paese per lo streaming o per accedere a servizi con restrizioni geografiche.
- Aggiungere un livello su reti davvero non affidabili — ma gran parte di questa protezione è già fornita da HTTPS, attivo per impostazione predefinita.
Una VPN non è uno scudo magico. Non ti protegge da pagine di phishing, malware, password deboli, truffe di portali captive, o da chiunque abbia già accesso ai tuoi account. Il provider VPN vede lo stesso traffico che avrebbe visto il bar — hai spostato la fiducia, non l'hai eliminata. Scegli una VPN con una chiara politica no-log verificata da audit indipendenti (Mullvad, Proton VPN, IVPN e pochi altri sono quelli comunemente raccomandati; molti dei marchi più pubblicizzati hanno storie meno pulite). Le VPN gratuite sono di solito gratuite perché tu sei il prodotto.
Per la maggior parte delle persone nella maggior parte dei viaggi, la risposta più semplice e più sicura è: usa i dati mobili del tuo telefono per le cose sensibili, e usa il Wi-Fi pubblico solo per cose che non importano molto.
Come riconoscere un problema
- Il portale captive chiede dati personali completi (nome, indirizzo, carta di credito) — quasi certamente non legittimo.
- La rete ti chiede di installare un'app o accettare un certificato. La rete di un locale legittimo non ti chiede mai di installare nulla. Rifiuta e vai via.
- Il tuo browser avverte di un certificato di sicurezza non valido. Non cliccare per continuare. Cambia rete.
- Pop-up nel browser che sembrano avvisi di sistema Windows/macOS. I veri avvisi di sistema non appaiono nei browser.
- La rete è aperta e il locale normalmente ne ha una con password. Conferma con il personale prima di connetterti.
- Due reti con nomi simili — "Hotel Marriot", "Marriott_GUEST", una con un refuso. Non indovinare.
Prima di partire
Venti minuti di preparazione ti risparmiano una settimana di recupero.
- Aggiorna i sistemi operativi del tuo telefono, laptop e tablet. Aggiorna le app principali (banking, gestore di password, e-mail).
- Attiva il 2FA su ogni account a cui dovrai accedere durante il viaggio. Aggiungi i codici di backup al tuo gestore di password prima di partire — rimanere bloccati all'estero è una giornata particolarmente brutta.
- Assicurati che il tuo gestore di password funzioni offline — aprilo una volta a casa senza rete e conferma che mostri il vault.
- Imposta un blocco schermo forte sul tuo telefono — PIN di sei cifre come minimo, biometria attiva, blocco automatico in meno di un minuto.
- Abilita Trova il mio dispositivo / Trova il mio iPhone, inclusa la cancellazione da remoto.
- Disabilita la connessione automatica a reti sconosciute. Dimentica le vecchie reti di cui non ti fidi più.
- Porta un power bank carico. Un telefono scarico in un paese straniero è un vero problema di sicurezza, non solo un inconveniente.
- Decidi cosa lasciare a casa. Un vecchio laptop è più sicuro del tuo principale. Un account e-mail da viaggio vuoto è più sicuro del tuo quotidiano. Meno dati alla frontiera significa meno rischi.
Alla frontiera
Gli agenti di frontiera in molti paesi sono legalmente autorizzati a ispezionare i tuoi dispositivi. Le regole variano molto — ciò che è accettabile in un paese potrebbe non esserlo in un altro.
- Non mentire sul contenuto dei tuoi dispositivi. È un problema penale separato oltre a qualsiasi altra cosa.
- Usa un PIN forte, non solo un'impronta digitale o il riconoscimento facciale. Molte giurisdizioni possono legalmente richiedere la biometria ma non i codici memorizzati — ma questo varia per paese e cambia; consulta un avvocato se è rilevante per te.
- Viaggia con un dispositivo pulito se attraversi frontiere dove il rischio di perquisizione è alto. Pulito significa: dati minimi, nessuna informazione sensibile sui clienti, nessuna fonte giornalistica, ecc.
- Spegni i dispositivi prima di passare la dogana — sono più difficili da sbloccare a forza in molte piattaforme a partire da uno stato di avvio a freddo.
In hotel
- Non usare il PC del "business centre" per nulla che richieda una password. I keylogger sono comuni.
- Non stampare carte d'imbarco o PDF sensibili dalla stampante dell'hotel se ha un disco fisso. Se devi farlo, cancella il lavoro di stampa dopo.
- Non fidarti delle stazioni di ricarica USB negli spazi pubblici — il "juice jacking" è reale ma raro. Un cavo USB con solo i cavi di alimentazione collegati, o il tuo caricatore da muro, è la soluzione semplice.
- Fai attenzione a ciò che ti circonda. Le camere d'albergo in alcuni paesi sono state usate per furti organizzati — la porta è più importante del Wi-Fi.
Cosa NON fare
- Non accedere mai alla tua banca da un PC del business centre di un hotel. Mai.
- Non connetterti a una rete aperta senza verifica del portale captive in un locale che normalmente richiede una password.
- Non pubblicare la tua posizione in tempo reale ("sono appena atterrato a Bali!") pubblicamente mentre sei lontano da una casa vuota.
- Non condividere foto della tua carta d'imbarco — il codice a barre contiene dettagli di prenotazione che possono essere usati per modificare o cancellare il tuo volo.
- Non usare il Wi-Fi pubblico per il primo accesso su un nuovo dispositivo — quella stretta di mano è uno dei momenti in cui usare i dati mobili vale davvero la pena.
- Non trascurare "le cose noiose" — un blocco schermo forte, aggiornamenti OS aggiornati e 2FA sull'e-mail valgono più di qualsiasi attrezzatura da viaggio specializzata.
Usare l'IA per aiutarti
Checklist rapida di preparazione al viaggio:
"Sto viaggiando in [paese] per [durata e motivo]. Porterò [lista dispositivi]. Dovrò accedere a [lista — e-mail, banca, lavoro, social, ecc.]. Dammi una checklist di preparazione alla sicurezza adattata a quel viaggio, in linguaggio semplice, che copra prima della partenza, alla frontiera e durante il soggiorno. Segnala eventuali preoccupazioni specifiche del paese da verificare con fonti aggiornate."
Verifica rapida del Wi-Fi:
"Sto per connettermi a una rete Wi-Fi pubblica. Il nome del locale è [nome], il nome della rete mostrato è [SSID] e il portale captive chiede [descrivi cosa chiede]. Devo essere cauto? Ci sono segnali sospetti?"
Un promemoria: l'IA non conosce la situazione politica o legale attuale a una frontiera specifica. Per qualsiasi paese con conflitti attivi o pratiche insolite di perquisizione dei dispositivi, verifica con i consigli di viaggio del ministero degli esteri del tuo paese prima di partire.
Chi chiamare
- La tua banca, immediatamente, se sospetti che i dati della tua carta possano essere stati catturati in un portale captive o clonati a un bancomat all'estero.
- Il tuo operatore telefonico, per abilitare il roaming internazionale con un PIN dell'account così che lo SIM swap sia più difficile mentre sei via.
- Il consolato o l'ambasciata del tuo paese nel paese di destinazione — annota l'indirizzo e il telefono prima di partire.
- La tua assicurazione di viaggio, che spesso ha linee di assistenza 24 ore su 24 e copre sempre più gli incidenti informatici.
Quando escalare oltre la chat
- Un dispositivo viene perso o rubato all'estero — cancellalo da remoto se puoi; denuncia alla polizia locale e all'hotel per i documenti assicurativi; cambia le password degli account interessati da un dispositivo noto e sicuro.
- Sospetti che il tuo laptop sia stato manomesso in una camera d'albergo — accendilo a casa ed esegui una scansione antivirus; considera una reinstallazione pulita se ci sono dati sensibili; per giornalisti o chi gestisce dati particolarmente sensibili, tratta il dispositivo come compromesso e sostituiscilo.
- Un portale captive ha preso i dati della tua carta e vedi transazioni strane — linea frodi della banca, oggi; blocca la carta; contesta gli addebiti per iscritto.
- Sei seguito o minacciato di persona — i consigli digitali in questa scheda non sono più rilevanti. I servizi di emergenza locali e la tua ambasciata hanno la priorità.
Fonti e letture aggiuntive
- Mozilla — statistiche di deployment HTTPS sul web
- NCSC UK e BSI für Bürger — guide sulle reti pubbliche e i viaggi
- Mullvad / Proton — audit no-log VPN e documentazione del modello di minaccia
- EFF — guide sulle pratiche di perquisizione alle frontiere per paese