) ============================================================================== -->

Sei al bar, in aeroporto, in hotel. Compare la solita lista di Wi-Fi gratuiti e il telefono ti chiede se vuoi collegarti. Da dieci anni a questa parte gira la stessa frase: "Mai usare il Wi-Fi pubblico, ti rubano i dati della carta di credito". È un avvertimento che oggi è in larga parte sbagliato. Non perché i rischi non esistano, ma perché sono diversi da quelli che hai in mente. Ti spiego cos'è davvero pericoloso e cosa puoi tranquillamente fare.

Quello che ti hanno detto, e com'è davvero

Il mito classico: "qualcuno è seduto al tavolo accanto e legge tutto quello che fai, comprese le password e i numeri di carta". Era vero quindici anni fa, quando la maggior parte dei siti viaggiava su HTTP, in chiaro. Oggi il 95% del traffico web è cifrato in HTTPS: il lucchetto chiuso che vedi vicino all'indirizzo del sito significa che, anche se qualcuno intercettasse i pacchetti, leggerebbe solo blocchi di dati indecifrabili. La tua password della banca, il numero di carta che digiti su Amazon, il messaggio su WhatsApp: tutto cifrato dal browser fino al server.

Quindi il rischio "ti rubano la carta sniffando il Wi-Fi" è oggi marginale. Quello che è reale, invece, è altro.

I rischi veri del Wi-Fi pubblico nel 2026

Le reti gemelle

Sei al "Caffè Roma" e ti aspetti il Wi-Fi gratuito. Vedi due reti: Caffe_Roma_Free e Caffe_Roma_WiFi. Una è quella vera, l'altra l'ha creata in due minuti chiunque abbia uno smartphone moderno e un'app. Se ti colleghi a quella sbagliata, l'attaccante è in mezzo: può reindirizzarti a versioni finte di siti reali, intercettare i tuoi DNS, mostrarti pagine di login truffaldine. Sembra un film, ma è economico, automatico e succede davvero, soprattutto in posti molto frequentati come stazioni e aeroporti.

Come ti difendi: chiedi al barista o alla reception quale è esattamente il nome della loro rete, e collegati solo a quella. Se le opzioni sono due quasi identiche, qualcosa non torna.

Il portale di login truffaldino

Quando ti colleghi a un Wi-Fi pubblico, spesso si apre una paginetta che ti chiede di accettare le condizioni o di registrarti con email e telefono. Si chiama captive portal. La pagina vera serve principalmente per limitare la durata della connessione, niente di personale. La pagina falsa, invece, raccoglie i tuoi dati per spam e profilazione.

Come ti difendi: davanti a un portale che ti chiede dati personali, valuta se ti serve davvero quel Wi-Fi, oppure passa alla rete dati. Se proprio devi, usa una mail "spazzatura" e mai una password che usi anche altrove.

Il tracciamento di prossimità

I Wi-Fi pubblici dei centri commerciali, delle catene di negozi e degli aeroporti registrano l'indirizzo MAC del tuo telefono. Questo permette di sapere quante volte torni, quanto tempo stai, in quale reparto. Non è un attacco: è marketing, ed è legale (a determinate condizioni). Ma ti riguarda.

Come ti difendi: iPhone e Android moderni di default usano un indirizzo MAC privato diverso per ogni rete, proprio per impedire questo tracciamento. Verifica che sia attivo (su iPhone: Impostazioni → Wi-Fi → tocca la rete → Indirizzo Wi-Fi privato).

Come proteggerti senza diventare paranoico

Per le cose importanti, usa la rete dati

La regola più semplice è anche la più efficace: se devi entrare nel conto in banca, fare un bonifico, controllare la mail di lavoro o accedere a documenti sensibili, passa alla rete dati cellulare. Costa pochissimo in termini di giga consumati e taglia fuori del tutto qualsiasi rischio del Wi-Fi pubblico. Le operazioni rapide e sensibili meritano i due secondi che ci vogliono per disattivare il Wi-Fi.

Controlla il lucchetto e il dominio

Quando sei su un sito importante (banca, posta, account social, e-commerce), guarda la barra dell'indirizzo. Deve esserci un lucchetto chiuso e l'indirizzo deve essere quello giusto, non posteitaliane-accesso.com ma poste.it. Se il browser ti avvisa di un certificato non valido, non procedere oltre.

Disattiva la connessione automatica

Di default, iPhone e Android si ricollegano in automatico alle reti già viste. Significa che se cammini per strada e ti trovi vicino a una rete con lo stesso nome di una a cui ti sei collegato in passato (un trucco classico delle reti gemelle), il telefono si collega senza chiederti nulla. Per evitarlo: Impostazioni → Wi-Fi → tocca la rete → disattiva Connessione automatica. Tienilo attivo solo per la tua rete di casa e quella dell'ufficio.

VPN: utile, ma scegli con la testa

Una VPN crea un tunnel cifrato dal tuo telefono a un server di tua fiducia: tutto il traffico passa di lì, nessuno sulla rete locale può vedere dove vai (anche se il sito non è in HTTPS). Funziona, ma la VPN che usi diventa il nuovo punto di fiducia: se usi una VPN gratuita di un'app sconosciuta, hai semplicemente spostato il problema. La regola: o paghi per una VPN seria (ProtonVPN, Mullvad, NordVPN) o non usarla affatto. Le gratuite vivono vendendo i tuoi dati, esattamente quello che credi di evitare.

Hotspot personale: l'alternativa che spesso dimentichi

Se hai un computer e devi lavorare in giro, c'è un'opzione che batte qualsiasi Wi-Fi pubblico: usa il telefono come hotspot personale. Su iPhone: Impostazioni → Hotspot personale → attivalo. Sul computer ti colleghi al Wi-Fi del telefono come a una rete normale. È la tua rete dati, criptata e fidata, e con i piani moderni quasi nessuno arriva al limite.

Su iPhone, l'aiuto già integrato

Se hai un piano iCloud+ a pagamento (parte da 0,99 € al mese), Apple include il Relay privato iCloud: una funzione che cifra una parte del tuo traffico di Safari attraverso server intermedi, in modo simile a una VPN ma più trasparente. Si attiva in Impostazioni → tuo nome → iCloud → Relay privato. Non sostituisce una VPN completa per tutte le app, ma è già un gradino in più di sicurezza per la navigazione web.

In sintesi

Il Wi-Fi pubblico nel 2026 non è la trappola che ti hanno raccontato negli anni Duemila: il grosso del web è cifrato e le password che digiti non vengono lette dal vicino di tavolo. I rischi reali sono altri: reti gemelle che imitano quelle vere, portali di login truffaldini, tracciamento dei tuoi spostamenti. La difesa è semplice: chiedi il nome esatto della rete, disattiva la connessione automatica, per le operazioni sensibili passa alla rete dati o all'hotspot del telefono, e se vuoi una VPN scegline una seria a pagamento. Non è paranoia, è igiene digitale di base.