有料Wi-FiスポットではVPNを利用しなくていいのか？

正直なところ、以下のとおりです。

●WPA/WPA2-EAPは「企業向けのセキュリティ設計(エンタープライズ認証が必要)」

●WPA/WPA2-PSKは TKIPでなければまだマシ。TKIPは既に破られています。
→現在は AES推奨になっているかと。それでも 256Bit AESですので、
　処理能力の非常に高いコンピュータと専用のロジック処理用プログラム
　を利用すれば、解読は可能。

しかしながら、双方とも現実的に「解読できたとしても特に『一定間隔でセキュリティキー交換(鍵交換)で情報更新』をしていたら、解読時間がそれに間に合わない場合は実質解読できないのと同じ」です。

※例として「１秒先の情報を推測するのに１秒を超えてしまうような
　解読では解読不能と変わらない」ということで。
　いわゆる『ラプラスの悪魔』と考え方は同じと言うか。

特に EAP(エンタープライズ認証)の場合は「必ず認証対象の端末側情報を読み込み、本来想定している端末からの接続であることを確認する必要」があります。無論通信経路は基本的に暗号化されている前提です。

想定外の端末から接続されていることを認証側が検知した時点で通常は
●接続要求を拒否
●同時に認証基準となる鍵情報をブラックリスト化

しているはずですので、そうなれば「データを受信できても解読するのはかなり困難」です。そもそも EAPの場合は一定時間内でのランダムな鍵交換も行っている前提なので。

ということで、EAP系統を使用してる場合は「まあ、まず解読はそんな簡単なもんじゃない」こと、PSK系統であっても「鍵解読に必要以上の時間がかかるような状態であれば、特定の情報だけをピンポイントで蓄積して解析するのも難しい」と考えるのが良いかと思います。

追伸：
厳密に言うともっと色々な観点で状況を想定・分析しないとならない
んですが、それを引っ張り出すと話がややこしくなるので概要と注意点
だけ書きました。