Es posible que mientras tu amigo navegaba, estubiera filtrando el trafico y sacara las contraseñas.
A algun certificado de autenticidad "falso" le dio aceptar sin darse cuenta jajajajaj.

No obtante, en mi opinion, el dueño de red esta solo amezando.
Si realmente quiesiera denunciar pues no lo diria, digo yo.
No obtante tu amigo se lo pensara dos veces.

Correcto, pero si esa persona no navega por https, pero por defecto no debería poder.