Captive portal de hotéis: como a página de login do Wi-Fi virou canal de publicidade e risco de segurança

Em reportagem publicada em junho de 2026, o The Next Web descreve como as páginas de autenticação do Wi-Fi para hóspedes em hotéis, os chamados captive portals, deixaram de ser um simples gateway técnico de acesso e se tornaram um canal oculto de coleta de dados e exibição de anúncios.

Como funciona um captive portal

O mecanismo é familiar para quem já se hospedou em um hotel com Wi-Fi gratuito. O notebook se conecta à rede do hotel e, em vez da internet, o navegador abre automaticamente uma página de autenticação. Nela, é preciso informar o número do quarto e o sobrenome e aceitar os termos de uso. Só depois disso o dispositivo ganha acesso completo à rede. Essa tecnologia, o captive portal, é usada há décadas por hotéis, aeroportos, cafés e centros empresariais para controlar o acesso de visitantes à rede e separar planos tarifários de acesso.

Por que isso virou canal de publicidade e risco de segurança

O captive portal ocupa uma posição privilegiada no tráfego de rede: antes que o dispositivo tenha acesso pleno à internet, todo o seu tráfego passa pela página de autenticação. Isso faz dela um ponto conveniente para embutir rastreadores, exibir anúncios e coletar dados sobre o dispositivo, o navegador e a geolocalização. Muitas vezes, isso acontece sem que o hóspede seja avisado claramente sobre a dimensão da coleta e sobre para quem esses dados são repassados. Criminosos também exploram ativamente essa mesma posição privilegiada: pontos de acesso falsos que imitam o captive portal do hotel (ataque do tipo evil twin) permitem interceptar logins, senhas e dados de cartões bancários antes mesmo que a vítima perceba a troca de rede.

Quem ganha dinheiro com o Wi-Fi de hotéis

Muitos hotéis não montam a própria infraestrutura de Wi-Fi para hóspedes. Eles terceirizam o serviço para fornecedores especializados em soluções de rede, que atendem centenas de estabelecimentos de hospedagem ao mesmo tempo. Com frequência, esses fornecedores monetizam a própria página de autenticação com anúncios, ofertas de parceiros, banners patrocinados de agências de turismo e serviços de táxi ou com o repasse de dados anonimizados a redes de publicidade. Assim, um acesso à internet formalmente gratuito vira uma fonte extra de receita para o hotel e seu fornecedor.

Um ponto de acesso aberto em um café, sem autenticação, ao menos não cria a ilusão de controle: o cliente sabe que está entrando em uma rede compartilhada com os demais frequentadores. O captive portal faz o contrário e transmite uma aparência de legitimidade e segurança. O pedido de dados pessoais, como número do quarto e sobrenome, soa como uma formalidade do hotel, e não como coleta de informações por um fornecedor de rede terceirizado. Isso reduz a vigilância até de usuários cautelosos.

A mesma lógica vale para aeroportos e centros empresariais. Quanto mais oficial parece a página de login, com logotipo do estabelecimento, texto jurídico dos termos de uso e cores corporativas, menos motivos o usuário tem para desconfiar de que por trás dela está a administração do local, e não um fornecedor terceirizado com interesses comerciais próprios.

O que isso significa

Ao se conectar ao Wi-Fi gratuito de um hotel, os hóspedes raramente pensam que a página de login pode ser, ao mesmo tempo, um ponto de coleta de dados para redes de publicidade e uma possível porta de entrada para ataques. O captive portal merece a mesma cautela dedicada a qualquer outra rede pública desconhecida, sobretudo ao lidar com dados sensíveis ou e-mail corporativo.