Это не теория. Бесплатно доступные инструменты делают такие атаки элементарными.
Автоподключение срабатывает в момент, когда устройство входит в открытую или недоверенную сеть, еще до того, как приложение успеет сделать незашифрованный запрос. Вам не нужно помнить, что VPN надо включить.