O passageiro não identificado usou um dispositivo portátil para interferir no sinal de Wi-Fi oficial do avião e, em seguida, transmitiu uma rede falsa chamada 'Delta WiFi Fast' — projetada para se parecer com a página de login legítima da Delta . Essa técnica é conhecida como ataque 'gêmeo do mal' (evil twin): uma rede Wi-Fi falsa que engana dispositivos próximos para se conectarem a uma página de login fraudulenta, onde o invasor pode roubar as credenciais que os passageiros inserirem .
De acordo com uma pessoa que afirma ter estado presente quando o avião pousou, o hotspot falso exibia uma página de phishing projetada especificamente para capturar credenciais pessoais dos passageiros e dados de login do Google . O objetivo do invasor era provavelmente o roubo de credenciais e a coleta de dados pessoais de viajantes desavisados .
Quando a tripulação descobriu a rede não autorizada, agiu rapidamente. Os pilotos usaram o Sistema de Endereçamento e Relatório de Comunicações de Aeronaves (ACARS) — um sistema de mensagens digitais usado para comunicação não verbal entre aeronaves e estações terrestres — para alertar a segurança corporativa da Delta. A mensagem dizia: "EI, ALERTEM A SEGURANÇA CORPORATIVA. TEMOS UM PAX [passageiro] A BORDO QUE CRIOU UM WI-FI FALSO CHAMADO DELTA WIFI F…" .
Dezessete minutos depois, a tripulação enviou uma mensagem de acompanhamento: "SEM INFORMAÇÕES ATÉ AGORA", indicando que ainda estavam coletando informações. Eles relataram que vários passageiros haviam participado de uma conferência de segurança cibernética em Las Vegas e "conseguiram interferir em nosso Wi-Fi e transmitir…" . Os pilotos também alertaram diretamente o controle de tráfego aéreo sobre a rede não autorizada .
Como precaução, a tripulação de cabine desativou o sistema de Wi-Fi legítimo da aeronave por aproximadamente 30 minutos .
A Delta Air Lines confirmou que a segurança do voo nunca esteve em questão. A empresa afirmou que nenhum sistema operacional da aeronave ou aviônica foi afetado — o incidente foi estritamente limitado à rede de internet dos passageiros . Morgan Durrant, porta-voz da Delta, disse ao TechCrunch: "A segurança do voo nunca esteve em questão e nenhum sistema operacional da aeronave foi afetado", acrescentando que a própria rede de bordo não foi comprometida .
Assim que a aeronave pousou no Aeroporto Internacional Hartsfield-Jackson, em Atlanta, as autoridades embarcaram no avião e entrevistaram os passageiros . A Delta divulgou uma declaração dizendo: "Estamos investigando completamente para reunir um conjunto completo de fatos, o que levará tempo. Faremos parceria com as autoridades policiais federais e os reguladores da aviação para garantir que o incidente seja completamente investigado" .
Pesquisadores de segurança e relatórios indicam que o invasor provavelmente usou uma combinação de duas técnicas: um ataque de 'desautenticação' Wi-Fi (deauth attack) para desconectar à força os passageiros da rede legítima e um ponto de acesso portátil 'gêmeo do mal' para transmitir o hotspot falso .
Ferramentas comuns que poderiam ter sido usadas incluem:
Em 12 de agosto de 2026, três entidades estão investigando ativamente:
Nenhuma prisão foi anunciada e o(s) passageiro(s) responsável(is) não foi/foram identificado(s) publicamente. A investigação está em andamento.
O passageiro não identificado usou um dispositivo portátil para interferir no sinal de Wi-Fi oficial do avião e, em seguida, transmitiu uma rede falsa chamada 'Delta WiFi Fast' — projetada para se parecer com a página de login legítima da Delta . Essa técnica é conhecida como ataque 'gêmeo do mal' (evil twin): uma rede Wi-Fi falsa que engana dispositivos próximos para se conectarem a uma página de login fraudulenta, onde o invasor pode roubar as credenciais que os passageiros inserirem .
De acordo com uma pessoa que afirma ter estado presente quando o avião pousou, o hotspot falso exibia uma página de phishing projetada especificamente para capturar credenciais pessoais dos passageiros e dados de login do Google . O objetivo do invasor era provavelmente o roubo de credenciais e a coleta de dados pessoais de viajantes desavisados .
Quando a tripulação descobriu a rede não autorizada, agiu rapidamente. Os pilotos usaram o Sistema de Endereçamento e Relatório de Comunicações de Aeronaves (ACARS) — um sistema de mensagens digitais usado para comunicação não verbal entre aeronaves e estações terrestres — para alertar a segurança corporativa da Delta. A mensagem dizia: "EI, ALERTEM A SEGURANÇA CORPORATIVA. TEMOS UM PAX [passageiro] A BORDO QUE CRIOU UM WI-FI FALSO CHAMADO DELTA WIFI F…" .
Dezessete minutos depois, a tripulação enviou uma mensagem de acompanhamento: "SEM INFORMAÇÕES ATÉ AGORA", indicando que ainda estavam coletando informações. Eles relataram que vários passageiros haviam participado de uma conferência de segurança cibernética em Las Vegas e "conseguiram interferir em nosso Wi-Fi e transmitir…" . Os pilotos também alertaram diretamente o controle de tráfego aéreo sobre a rede não autorizada .
Como precaução, a tripulação de cabine desativou o sistema de Wi-Fi legítimo da aeronave por aproximadamente 30 minutos .
A Delta Air Lines confirmou que a segurança do voo nunca esteve em questão. A empresa afirmou que nenhum sistema operacional da aeronave ou aviônica foi afetado — o incidente foi estritamente limitado à rede de internet dos passageiros . Morgan Durrant, porta-voz da Delta, disse ao TechCrunch: "A segurança do voo nunca esteve em questão e nenhum sistema operacional da aeronave foi afetado", acrescentando que a própria rede de bordo não foi comprometida .
Assim que a aeronave pousou no Aeroporto Internacional Hartsfield-Jackson, em Atlanta, as autoridades embarcaram no avião e entrevistaram os passageiros . A Delta divulgou uma declaração dizendo: "Estamos investigando completamente para reunir um conjunto completo de fatos, o que levará tempo. Faremos parceria com as autoridades policiais federais e os reguladores da aviação para garantir que o incidente seja completamente investigado" .
Pesquisadores de segurança e relatórios indicam que o invasor provavelmente usou uma combinação de duas técnicas: um ataque de 'desautenticação' Wi-Fi (deauth attack) para desconectar à força os passageiros da rede legítima e um ponto de acesso portátil 'gêmeo do mal' para transmitir o hotspot falso .
Ferramentas comuns que poderiam ter sido usadas incluem:
Em 12 de agosto de 2026, três entidades estão investigando ativamente:
Nenhuma prisão foi anunciada e o(s) passageiro(s) responsável(is) não foi/foram identificado(s) publicamente. A investigação está em andamento.