A Delta Air Lines está a investigar o aparecimento de uma rede sem fios não autorizada a bordo de um voo entre Las Vegas e Atlanta que transportava passageiros regressados da DEF CON, uma das maiores conferências de hacking do mundo. O caso ocorreu a 10 de agosto no voo 591, num Boeing 757, e uma primeira análise da companhia concluiu que a rede detetada não era fornecida, operada nem disponibilizada pela transportadora. A tripulação desativou a funcionalidade de Wi-Fi da aeronave durante cerca de 30 minutos, o avião levava 199 passageiros e seis tripulantes e não foi declarada qualquer emergência junto do controlo de tráfego aéreo.
Resposta rápida: Durante o voo Delta 591 (Las Vegas–Atlanta) surgiu uma rede Wi-Fi não autorizada com o nome Delta WiFi Fast, alegadamente criada por passageiros que vinham da DEF CON 34. A companhia garante que nenhum sistema seu foi comprometido e que a segurança do voo nunca esteve em causa; a tripulação desligou o Wi-Fi cerca de 30 minutos e a investigação envolve autoridades federais e reguladores aeronáuticos norte-americanos. Para quem viaja, a lição prática é simples: desative a ligação automática a redes abertas, desconfie de SSID parecidos com os oficiais e nunca introduza credenciais em portais de login que aparecem sem contexto.
O que se sabe sobre o voo DL-591
O caso tornou-se público a partir de mensagens operacionais trocadas pela tripulação. Observadores de tráfego aéreo captaram mensagens ACARS enviadas pela tripulação do voo 591 a alertar a segurança corporativa de que um passageiro tinha criado uma rede Wi-Fi fraudulenta chamada “Delta WiFi Fast” e que se suspeitava de tentativa de fraude contra os restantes passageiros; numa segunda mensagem, a tripulação apontava para um grupo de passageiros que tinha estado numa conferência de cibersegurança e que teria conseguido interferir com o Wi-Fi da aeronave e difundir o seu próprio sinal. As mensagens foram divulgadas pela conta Turbine Traveller, de um técnico de aeronaves baseado em Nairobi.
O voo, inicialmente previsto para domingo, só partiu de Las Vegas às 8h30 de segunda-feira, com um atraso de 17 horas e 42 minutos, chegando a Atlanta às 15h05 (hora do leste). Cerca de uma hora depois da descolagem, a tripulação recorreu ao ACARS para pedir que a segurança da companhia fosse alertada. Ao CyberScoop, o porta-voz da Delta, Morgan Durrant, afirmou que a tripulação de cabine desativou o Wi-Fi da aeronave durante cerca de 30 minutos, que a segurança do voo nunca esteve em causa e que nenhum sistema operacional da aeronave foi afetado, acrescentando que a companhia está a investigar para reunir o conjunto completo de factos e que trabalhará com as autoridades federais e os reguladores aeronáuticos.
| Momento | O que aconteceu |
|---|---|
| Domingo, 9 de agosto | Fim da DEF CON 34 em Las Vegas; o voo previsto para esse dia não parte |
| Segunda-feira, 8h30 (hora local) | Partida do DL-591 de Las Vegas com atraso superior a 17 horas |
| ~1 hora após a descolagem | Tripulação envia mensagens ACARS sobre rede “scam” chamada Delta WiFi Fast |
| Durante o voo | Wi-Fi da aeronave desativado pela tripulação por cerca de 30 minutos |
| 15h05 (hora do leste) | Chegada a Atlanta; segundo relatos online, autoridades abordam a aeronave no gate |
| Dias seguintes | Delta confirma rede não autorizada e mantém investigação com autoridades federais |
Há pontos que continuam em aberto e que convém não tratar como factos estabelecidos. Relatos publicados nas redes sociais indicam que, após a chegada ao gate A18 em Atlanta, autoridades entraram na aeronave e questionaram passageiros. Contudo, embora publicações no Facebook e no X afirmassem que as forças de segurança aguardavam no gate, um utilizador do fórum dedicado à Delta que dizia ter estado no voo garantiu não ter visto qualquer presença policial. O escritório do FBI em Atlanta e a Federal Aviation Administration confirmaram ter conhecimento do incidente, sem comentários adicionais, enquanto a TSA e a Homeland Security Investigations não responderam a pedidos de esclarecimento. Também a alegada página de phishing associada à rede falsa surge, para já, sustentada em relatos de membros de grupos online de passageiros frequentes sem ligação formal à companhia, pelo que a recolha efetiva de credenciais não está confirmada oficialmente.
Desautenticação e “gémeo maligno”: o que significa em termos técnicos
A expressão usada pela tripulação — “interferir” com o Wi-Fi — corresponde tecnicamente a algo mais banal do que uma interferência de rádio. Num ataque de desautenticação, os clientes ligados a uma rede recebem pacotes forjados que fingem vir do ponto de acesso legítimo e que ordenam a desconexão: o atacante observa o tráfego sem fios para identificar o endereço MAC do ponto de acesso e forja tramas de desautenticação com esse endereço como origem, provocando, por repetição, uma condição de negação de serviço. Mantendo o envio contínuo dessas tramas, é possível manter os dispositivos afastados do ponto de acesso real — técnica habitualmente usada para forçar os clientes a ligarem-se a um ponto de acesso não autorizado (o chamado evil twin), interceptar tráfego ou encaminhar as vítimas para páginas maliciosas.
O incidente tem as marcas típicas de um ataque de evil twin, em que é criado um ponto de acesso falso que se faz passar por uma rede legítima ao clonar o nome e as configurações; combinado com a desautenticação, o falso ponto atrai portáteis e telemóveis, e depois permite observar tráfego não cifrado, executar ataques man-in-the-middle ou apresentar portais de autenticação falsificados para recolher credenciais. Do lado da defesa, as redes que usam Protected Management Frames (PMF) conseguem mitigar este tipo de ataque a tramas de gestão falsificadas.
Importa ainda separar o alarme da realidade técnica: a companhia afirmou não ter havido qualquer intrusão em sistemas Delta, incluindo o Wi-Fi de bordo, confirmando apenas a difusão de uma rede não autorizada durante um curto período, e sugeriu que parte da confusão em torno de um eventual ataque de desautenticação resultou da própria desativação do Wi-Fi de cabine durante cerca de meia hora. O único indicador publicamente conhecido é, até agora, o nome de rede Delta WiFi Fast; não foram divulgados endereços MAC, domínios ou outros IOCs verificáveis.
Medidas concretas para quem viaja (e para quem gere frotas de portáteis)
- Desativar a ligação automática a redes abertas e “esquecer” redes de hotéis, aeroportos e aviões após a viagem, evitando reconexões silenciosas a SSID clonados.
- Confirmar o nome exato do serviço de bordo com a tripulação e desconfiar de variantes com palavras como “fast”, “free” ou “premium”.
- Nunca autenticar contas pessoais ou profissionais (nomeadamente Google ou Microsoft 365) em portais cativos; iniciar sessão apenas a partir da aplicação ou do endereço escrito manualmente.
- Ativar autenticação multifator resistente a phishing (chaves de segurança FIDO2 ou passkeys), que não é contornável pela simples captura de palavra-passe.
- Preferir a partilha de dados móveis do telemóvel ao Wi-Fi partilhado e usar VPN corporativa com DNS de confiança em qualquer rede não gerida.
- Nos equipamentos da organização, forçar por política a desativação da ligação automática, exigir PMF/WPA3 nas redes internas e monitorizar pontos de acesso não autorizados nas instalações.
Estas recomendações alinham-se com o que o CNCS já divulga para deslocações: em locais públicos como cafés, hotéis, portos e aeroportos, os pontos de acesso sem fios, às vezes gratuitos, não oferecem garantia de confidencialidade e podem ser estabelecidos por atacantes que pretendem parecer fiáveis e roubar informação. O centro nacional lembra ainda que os dispositivos levados em viagem transportam frequentemente dados confidenciais da organização, cuja perda ou roubo tem consequências negativas para a atividade profissional.
Porque é que isto importa em Portugal
O episódio é norte-americano, mas o cenário é replicável em qualquer sala de embarque de Lisboa, Porto ou Faro — e as consequências para uma organização portuguesa seriam idênticas. Se um colaborador introduzir credenciais corporativas num portal falso, o resultado provável é uma tentativa de acesso indevido a correio eletrónico e a plataformas cloud, com potencial exfiltração de dados pessoais. Nesse caso, aplica-se o dever de documentar e, quando exista risco para os titulares, notificar a CNPD nos prazos previstos no RGPD.
Para entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de riscos associados a dispositivos móveis, ao acesso remoto e à autenticação forte faz parte das medidas de gestão de riscos exigidas, e um incidente significativo desencadeado por credenciais roubadas em viagem está sujeito às obrigações de comunicação ao CNCS/CERT.PT. O setor dos transportes, incluindo o transporte aéreo, é aliás um dos setores considerados de elevada criticidade no âmbito da NIS2 — o que torna este tipo de casos relevante também para operadores aeroportuários e companhias europeias.
Fica ainda a dimensão legal do lado de quem executa a experiência. Em Portugal, criar uma rede que se faz passar por outra para captar credenciais pode configurar crimes previstos na Lei do Cibercrime (Lei n.º 109/2009), como o acesso ilegítimo e a interceção ilegítima, além de eventuais responsabilidades contraordenacionais ligadas ao uso do espetro radioelétrico. Num contexto de aeronave em voo, o quadro agrava-se pela possibilidade de interferência com a autoridade da tripulação. Como sublinha o próprio setor, a demonstração técnica pode ser trivial, mas as consequências não são — e a investigação em curso, cujas conclusões preliminares ainda não estabelecem quem criou a rede nem se houve informação de passageiros efetivamente comprometida, dirá o resto.
Perguntas frequentes
O avião esteve em risco?
Não, segundo a companhia. A Delta afirmou que a segurança do voo nunca esteve em causa e que nenhum sistema operacional da aeronave foi afetado. O Wi-Fi de passageiros é uma rede separada dos sistemas de voo.
O que é um ataque de desautenticação?
É o envio de tramas de gestão falsificadas que fingem vir do ponto de acesso legítimo para forçar a desconexão dos dispositivos. Repetido continuamente, provoca negação de serviço, e redes com Protected Management Frames conseguem mitigar este tipo de ataque.
Como reconheço uma rede falsa num aeroporto ou avião?
Desconfie de nomes semelhantes aos oficiais, de portais de login que pedem credenciais de contas Google ou Microsoft e de redes que aparecem depois de a ligação legítima falhar. Confirme sempre o nome do serviço com a tripulação ou com a sinalética do aeroporto.
Alguém foi identificado ou acusado?
Não há, até ao momento, identificações ou acusações confirmadas publicamente. O FBI em Atlanta e a FAA disseram ter conhecimento do incidente sem prestar mais declarações e a companhia mantém a investigação em curso.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Delta Air Lines, pelo FBI de Atlanta e pela Federal Aviation Administration, em mensagens operacionais ACARS divulgadas por observadores de tráfego aéreo e em recomendações públicas do CNCS.