Hotspot mobile vs WiFi pubblico: quale è davvero più sicuro nel 2026

La scelta tra un hotspot mobile (tethering di una connessione 4G o 5G dal tuo smartphone) e il WiFi pubblico (rete di aeroporto, hotel o caffè) è diventata un compromesso di routine per il lavoratore da remoto in movimento, il viaggiatore o semplicemente chiunque voglia controllare le email fuori casa. La domanda è spesso posta in modo binario — "quale è più sicuro" — quando in realtà le due tecnologie hanno superfici d'attacco profondamente diverse, e la risposta giusta dipende tanto dal caso d'uso quanto dal contesto.

Questa guida confronta con precisione cosa ogni attore (operatore mobile, gestore dell'hotspot WiFi, potenziale aggressore locale) può vedere e fare a seconda della tecnologia, fornisce cifre concrete sul costo dei dati per il 2026 e presenta lo stack più difensivo (hotspot mobile + VPN) per le attività ad alto rischio.

Come funziona ogni tecnologia

Per confrontare cosa ogni attore può tecnicamente vedere, dobbiamo prima capire la topologia di ogni connessione.

Hotspot mobile — tethering 4G o 5G tramite il tuo telefono. Quando attivi il tethering (Hotspot personale su iOS, Hotspot mobile su Android), il tuo telefono diventa un router Wi-Fi. Sul lato radio cellulare, il telefono stabilisce una connessione cifrata verso un ripetitore dell'operatore (TIM, Vodafone, WindTre, Iliad in Italia; Verizon, AT&T, T-Mobile negli USA) tramite gli standard 4G LTE o 5G NR. Sul lato Wi-Fi locale, il telefono trasmette un SSID privato con una password WPA2 o WPA3, e gli altri dispositivi (il tuo laptop, il tuo tablet) si connettono proprio come a qualsiasi altro router. Il traffico di questi dispositivi passa attraverso il telefono, poi il ripetitore, poi la rete core dell'operatore, poi esce su internet. Due collegamenti cifrati in cascata: Wi-Fi locale (WPA2/WPA3) + radio cellulare (NEA2/5G-EA).

WiFi pubblico — un operatore centralizzato. Ti unisci all'SSID dell'aeroporto, del caffè o dell'hotel. Autenticazione tramite una password condivisa al banco, o una rete aperta con captive portal. Il traffico passa attraverso il router Wi-Fi del locale, poi attraverso la connessione internet del locale (fibra, banda larga aziendale, o talvolta 4G/5G come backup). Sul lato radio Wi-Fi, la cifratura dipende dalla versione: WPA3 (rara nel 2026 fuori dai grandi locali di recente costruzione), WPA2-PSK con una password condivisa (la più comune), o aperta senza cifratura (caffè semplici, alcuni aeroporti). Sul lato infrastruttura interna, il gestore dell'hotspot può registrare e analizzare il traffico — è lo scopo commerciale dei deployment Cisco Meraki, Aruba e Ruckus.

La differenza strutturale chiave. Su un hotspot mobile, un aggressore nel raggio d'azione radio non può fare nulla passivamente — il collegamento cellulare è cifrato per progettazione. Su WiFi pubblico aperto o WPA2 con una password nota a tutti, un altro client sulla stessa rete può potenzialmente intercettare il traffico degli altri client in modalità promiscua. È la base tecnica del motivo per cui un hotspot mobile è per impostazione predefinita più sicuro del WiFi pubblico — un attacco locale passivo è semplicemente impossibile sul cellulare.

Dettagli tecnici: il 4G LTE usa gli algoritmi EEA1 (Snow 3G), EEA2 (AES-128 in modalità counter), EEA3 (ZUC, ottimizzato per la Cina) per la cifratura del livello radio, come descritto nelle specifiche 3GPP. Il 5G NR aggiunge 5G-EA con suite rafforzate (AES-256 possibile) e la cifratura dell'IMSI alla registrazione iniziale (SUCI). L'articolo di Wikipedia sulla sicurezza 5G copre l'intero stack in dettaglio.

Superficie d'attacco a confronto — chi può fare cosa

La tabella seguente riassume gli attori e le loro capacità per tecnologia. Leggi riga per riga — ogni attore ha un accesso diverso in ogni scenario.

Lettura della tabella. Su un hotspot mobile, l'elenco degli attori con accesso al tuo traffico si riduce drasticamente rispetto al WiFi pubblico. Solo il tuo operatore mobile ha una visibilità significativa — ed è esattamente la stessa visibilità che ha un ISP a casa. I vettori di attacco locali (sniffing, Evil Twin, captive portal compromessi, tracciamento MAC commerciale) diventano inapplicabili o molto costosi per l'aggressore. Su WiFi pubblico WPA2-PSK con una password scritta su una lavagna (lo scenario più comune nel 2026), la superficie d'attacco include ogni altro client sulla stessa rete — il che include potenzialmente un aggressore opportunista con attrezzatura minima.

Caso importante: il WiFi pubblico WPA3 con OWE (raro ma emergente nel 2026) elimina la possibilità di sniffing tra client connessi — ogni client ha una chiave effimera unica con l'AP. Ma il gestore dell'hotspot vede comunque il traffico e può tracciare gli utenti. Quindi il WPA3 migliora il quadro del WiFi pubblico senza renderlo equivalente a un hotspot mobile dal punto di vista della privacy rispetto all'operatore.

Casi pratici — quando preferire un hotspot, quando preferire il WiFi

Oltre alla sicurezza pura, diversi criteri pratici entrano nella decisione: velocità, batteria, costo dei dati, contesto. Ecco i profili tipici.

Profilo 1 — Email + navigazione web standard in movimento. Scenario comune: viaggiatore su un treno, lavoratore da remoto in un caffè, partecipante a una conferenza. Raccomandazione: hotspot mobile per impostazione predefinita. Il consumo è moderato (~50 MB/h navigazione, ~10 MB/h email), quindi anche un piano modesto (10 GB/mese) copre comodamente una giornata di lavoro mobile. La sicurezza è nettamente migliore del WiFi pubblico. La batteria del telefono si scarica più in fretta — porta un power bank o trova un punto di ricarica. Su 5G urbano denso, il throughput è più che sufficiente per la comodità.

Profilo 2 — Videochiamate prolungate (Zoom, Teams) in movimento. Scenario tipico: una giornata intera di riunioni da un Airbnb con WiFi inaffidabile. Raccomandazione: dipende dalla copertura 5G. In una zona 5G stabile, l'hotspot mobile resta praticabile (~500 MB/h in HD, grosso modo 4 GB per una giornata intera). In 4G con copertura a macchia di leopardo, latenza e cadute rendono l'esperienza incostante — il passaggio al WiFi pubblico può essere necessario. Se il WiFi pubblico è inevitabile, attiva sempre la VPN con kill switch (vedi rischi del WiFi pubblico 2026).

Profilo 3 — Streaming video prolungato (Netflix, YouTube). Raccomandazione: WiFi domestico o WiFi pubblico affidabile. I costi dei dati su un hotspot diventano proibitivi (3 GB/h a 1080p, 7 GB/h a 4K). Un piano da 100 GB/mese evapora in poche ore di streaming. Il WiFi pubblico resta tecnicamente praticabile, a condizione di avere una VPN attiva e di non inserire credenziali sensibili nel captive portal.

Profilo 4 — Accesso alla banca o a un account di lavoro sensibile. Raccomandazione: hotspot mobile senza esitazione. La superficie d'attacco ridotta e l'impossibilità dello sniffing locale ne fanno il mezzo giusto per operazioni ad alto rischio. Aggiungi una VPN per chiudere la falla verso il tuo operatore. L'overhead di dati è trascurabile (le operazioni bancarie usano qualche MB al massimo). Questa pratica è raccomandata da diversi CSIRT aziendali per le operazioni sensibili in viaggio.

Profilo 5 — Download di file di grandi dimensioni (aggiornamento OS, ISO di sistema, video pesante). Raccomandazione: WiFi. L'hotspot mobile è troppo costoso in termini di dati, e il 5G urbano è ancora soggetto a politiche di throttling per fair-use dell'operatore in alcuni piani. Usa il WiFi domestico, o aspetta di essere sulla rete di un partner fidato.

Profilo 6 — Viaggiatore internazionale con un operatore partner. Raccomandazione: dipende dal tuo piano di roaming. All'interno dell'UE, "roam like at home" significa che il tuo piano nazionale funziona allo stesso modo all'estero — preferisci l'hotspot mobile. Fuori dall'UE, le spese di roaming possono rendere l'hotspot mobile catastrofico (tariffe significative per MB in alcuni paesi). L'acquisto di una eSIM locale (Airalo, Holafly) risolve il problema e ripristina il vantaggio dell'hotspot mobile. In mancanza di ciò, il WiFi pubblico con una VPN diventa l'opzione economica pragmatica.

Costo reale dei dati per attività — cifre 2026

Cifre indicative per pianificare il tuo consumo mensile dell'hotspot. Dati misurati internamente e verificati con i rapporti AGCOM e FCC e le comunicazioni pubbliche degli operatori.

Attività leggere (< 100 MB/h).

• Email di lavoro con sincronizzazione continua: ~5–10 MB/h
• Messaggistica (WhatsApp, Signal, iMessage): ~5–15 MB/h
• Navigazione web ricca di testo (notizie, ricerca): ~30–80 MB/h
• Banca, portali pubblici (Agenzia delle Entrate, INPS): ~10–30 MB/h
• Scroll leggero sui social (Twitter/X, LinkedIn): ~50–100 MB/h

Attività medie (100–500 MB/h).

• Navigazione web standard con immagini: ~100–200 MB/h
• Streaming audio (Spotify, Apple Music, podcast): ~50–150 MB/h a seconda della qualità
• Video standard 480p (YouTube, formazione online): ~250–400 MB/h
• Videochiamata HD (Zoom, Teams, Google Meet): ~500 MB/h
• Social con riproduzione automatica dei video: ~300–600 MB/h

Attività pesanti (> 1 GB/h).

• Streaming video HD 720p: ~1,5 GB/h
• Streaming video HD 1080p: ~3 GB/h
• Streaming video 4K: ~7 GB/h
• Aggiornamento OS o download ISO di sistema: variabile, spesso 3–10 GB per un aggiornamento importante
• Cloud gaming (GeForce Now, Xbox Cloud): ~10–15 GB/h

Piani operatore tipici in Italia e negli USA, 2026 (ordine di grandezza indicativo).

• Piani da 100–150 GB: ~15–30 € / 20–40 $ al mese (sufficiente per un uso occasionale dell'hotspot)
• Piani da 200–300 GB: ~25–40 € / 35–55 $ al mese (uso regolare dell'hotspot)
• Piani 5G illimitati: ~35–55 € / 50–80 $ al mese (uso intensivo, lavoro da remoto nomade)

Consiglio pratico. Per un lavoratore da remoto che usa il suo hotspot 2–3 giorni al mese per email, web e videochiamate moderate, 100 GB sono abbondanti. Per un nomade digitale a tempo pieno, il passaggio a un piano 5G illimitato elimina l'ansia da budget e permette di lavorare esclusivamente su un hotspot mobile.

Combinare hotspot mobile + VPN — lo stack più sicuro

Per i casi d'uso in cui la sicurezza ha la priorità (banca sensibile, lavoro da remoto su dati riservati, giornalismo in movimento, viaggi verso giurisdizioni ad alto rischio), combinare un hotspot mobile con una VPN chiude praticamente ogni vettore di attacco locale e nasconde la tua attività al tuo operatore mobile. È lo stack difensivo più completo disponibile per un utente ordinario.

Configurazione consigliata. Passo 1: attiva il tethering sul tuo telefono (Hotspot personale su iOS, Hotspot mobile su Android), con WPA2 o WPA3 e una password forte. Passo 2: connetti il tuo laptop o tablet all'SSID privato del telefono. Passo 3: attiva il client VPN sul dispositivo finale (laptop, tablet), con il kill switch impostato in modalità sistema. Passo 4: verifica l'assenza di falle con il nostro strumento di test fughe DNS. Passo 5: conferma l'IP visibile con il nostro strumento indirizzo IP.

Perché questa configurazione vince. L'hotspot mobile chiude gli attacchi locali (sniffing, Evil Twin, captive portal). La VPN chiude la falla verso l'operatore mobile (che altrimenti vedrebbe DNS e IP di destinazione). Livello cellulare cifrato + livello Wi-Fi locale cifrato + tunnel VPN cifrato = tripla protezione difensiva. Un aggressore che volesse violare questo stack dovrebbe o compromettere il tuo dispositivo, o compromettere il server VPN, o compromettere la rete core dell'operatore — tre bersagli separati e costosi.

Quando è eccessivo. Per la navigazione web ordinaria senza niente in gioco, è troppo. Per controllare le email personali mentre aspetti un treno, è troppo. Un hotspot mobile da solo (senza VPN) neutralizza già gli attacchi locali — la VPN aggiunge privacy verso l'operatore, non sicurezza pura. Attivare la VPN quando l'attività lo giustifica (banca, email di lavoro, lavoro da remoto) e lasciarla disattivata altrimenti è un approccio ragionevole.

Quando non basta. Per un giornalista con una fonte in un paese ad alto rischio, un whistleblower, o qualsiasi attività di altissimo valore presa di mira da un attore statale — uno stack hotspot + VPN è ancora insufficiente. Devi aggiungere Tor (idealmente da Tails su una chiavetta USB), operare da un dispositivo dedicato, usare una SIM anonima o prepagata non collegata alla tua identità, e compartimentare rigorosamente. Vedi Tor vs VPN — differenze e combinazione per i dettagli.

Limite della batteria. Il tethering scarica la batteria del telefono a ritmo accelerato (radio cellulare attiva + trasmissione Wi-Fi simultanea). Per un uso prolungato, porta un power bank o collegalo alla corrente. Su 5G, il consumo energetico è più alto che su 4G — passare al 4G nelle impostazioni di rete può prolungare la durata della batteria se il throughput è sufficiente.

Limite del roaming internazionale. Fuori dall'UE, i costi dei dati possono esplodere. Preparati con una eSIM locale (Airalo, Holafly, Nomad), o sottoscrivi l'add-on di roaming specifico del tuo operatore. In mancanza di ciò, il WiFi pubblico con una VPN diventa la soluzione pragmatica — meno difensiva, ma economicamente sostenibile.

Riepilogo: decisione per caso d'uso

Tre regole pratiche coprono la decisione per la maggioranza dei casi.

Regola 1 — Per impostazione predefinita, l'hotspot mobile. Salvo casi specifici (download pesanti, streaming HD prolungato, area senza copertura 4G/5G), la combinazione di sicurezza superiore + maggiore privacy + dispiegamento istantaneo rende l'hotspot mobile preferibile al WiFi pubblico per la maggioranza degli usi mobili.

Regola 2 — Se il WiFi pubblico è inevitabile, tieni la VPN attiva. Nessun WiFi pubblico senza una VPN con kill switch attivo. Questo non è negoziabile per qualsiasi attività che vada oltre il consumo passivo di informazioni pubbliche. La VPN chiude le falle principali (SNI, DNS, IP) e neutralizza gli attacchi locali. Vedi il kill switch della VPN spiegato per i dettagli su questo elemento critico.

Regola 3 — Combinazione hotspot + VPN per attività ad alto rischio. Banca sensibile, lavoro da remoto su dati riservati, giornalismo, viaggi verso una giurisdizione ad alto rischio: combina entrambi i livelli. Overhead di dati marginale, guadagno difensivo sostanziale.

Approfondimenti

La scelta tra hotspot mobile e WiFi pubblico non è una questione di moda — è un arbitraggio tra sicurezza, costo e disponibilità. Per la maggioranza dei casi d'uso mobili, l'hotspot mobile vince sulla sicurezza contro gli attacchi locali e sulla privacy contro i gestori commerciali del WiFi — al costo del consumo di dati. Combinato con una VPN verificata con kill switch, è lo stack più difensivo disponibile per un utente ordinario nel 2026. Sul WiFi pubblico che non si può evitare (niente hotspot mobile su un aereo, nessuna copertura cellulare in un seminterrato, costi di roaming fuori dall'UE), una VPN resta la misura strutturale. Per verificare regolarmente che la tua VPN stia facendo il suo lavoro, il nostro audit completo della VPN in 9 test è la procedura di riferimento.

Articolo pubblicato il 29 maggio 2026. Metodologia: sintesi delle specifiche 3GPP su 4G LTE e 5G NR (TS 33.401 sicurezza LTE, TS 33.501 sicurezza 5G), rapporti sul mercato mobile AGCOM e FCC 2023–2025, pubblicazioni accademiche sugli IMSI catcher (paper SecureComm 2018–2021), e misurazioni del consumo di dati condotte internamente per tre mesi (marzo–maggio 2026) su una configurazione Pixel 8 + MacBook + NordVPN. Dati degli operatori verificati con le comunicazioni pubbliche di TIM, Vodafone, WindTre, Iliad (Italia) e Verizon, AT&T, T-Mobile (USA).