¿Es seguro el Wi-Fi público? Los riesgos reales de hoy y cómo protegerse

¿Es seguro usar el Wi-Fi público?

Para la mayoría de los usos cotidianos, sí. La Comisión Federal de Comercio de Estados Unidos (FTC) afirma que el Wi-Fi público solía ser arriesgado porque la mayoría de los sitios web no cifraban los datos, de modo que los atacantes conectados a la misma red podían interceptarlos; ahora que la mayoría de los sitios web usan cifrado, conectarse a través de una red Wi-Fi pública suele ser seguro ^[1]. El cifrado codifica los datos entre su dispositivo y el sitio web para que otras personas de la red no puedan leerlos.

La Electronic Frontier Foundation (EFF), una organización de defensa de los derechos digitales, llega a la misma conclusión: antes era un consejo habitual usar una VPN en las redes Wi-Fi públicas de cafeterías o aeropuertos, pero ya no es tan necesario para todo el mundo porque la mayor parte del tráfico web se cifra hoy con HTTPS ^[2].

Para comprobar una conexión en un navegador, la FTC indica que busque un candado o «https» a la izquierda de la dirección del sitio web, también en los navegadores móviles ^[1]. Las aplicaciones son más difíciles de comprobar, pero la FTC afirma que la mayoría usa cifrado ^[1].

Entonces, ¿qué sigue siendo arriesgado?

El cifrado protege los datos en tránsito, no su criterio. Los riesgos que persisten son las redes falsas, la información que el cifrado no oculta, los dispositivos que comparten archivos o están desactualizados y los sitios web falsos que también usan cifrado ^[1][2][3]. Las secciones siguientes explican cada uno.

¿Qué pueden ver otras personas en una red Wi-Fi pública?

HTTPS protege el contenido de las comunicaciones, no los metadatos ^[2]. Según la EFF, cuando usted visita sitios HTTPS, quienes están a lo largo de la ruta suelen poder ver los nombres de dominio, por ejemplo wikipedia.org, y cuándo los visita, así como el tamaño de las páginas y archivos que carga o envía ^[2]. No pueden ver las páginas concretas de esos sitios, su nombre de usuario ni los mensajes que envía ^[2].

En una red Wi-Fi pública, las personas que estén dentro del alcance de la red podrían optar por escuchar y ver esos mismos metadatos, igual que podría hacerlo su proveedor de internet en casa ^[2]. La EFF considera que, si ese riesgo le parece aceptable, no debería preocuparse por usar el Wi-Fi público ^[2].

El operador de la red también puede ver la dirección de hardware de su dispositivo, conocida como dirección MAC (Media Access Control). Apple explica que un dispositivo que usa siempre la misma dirección MAC de Wi-Fi permite a los operadores de red y a los observadores asociar esa dirección con la actividad y la ubicación del dispositivo a lo largo del tiempo ^[8]. Por eso, los dispositivos Apple usan una dirección de Wi-Fi privada distinta en cada red y pueden rotarla ^[8], y Android 10 y versiones posteriores usan por defecto una dirección MAC aleatoria ^[9].

¿Qué es un ataque Wi-Fi de tipo evil twin?

En un ataque evil twin («gemelo malvado»), descrito por la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA), un atacante recopila información sobre un punto de acceso público y configura su propio sistema para suplantarlo, con una señal de emisión más potente para que los usuarios desprevenidos se conecten al falso ^[3]. Como el tráfico de internet de la víctima pasa entonces por el sistema del atacante, este puede usar herramientas especializadas para leer los datos que envía la víctima, entre ellos posiblemente números de tarjeta, nombres de usuario y contraseñas ^[3].

El consejo de la CISA es confirmar siempre el nombre y la contraseña de un hotspot público antes de usarlo, para conectarse a un punto de acceso de confianza ^[3]. HTTPS sigue limitando lo que un evil twin puede leer en los sitios correctamente cifrados ^[1][2]. El peligro que persiste es ser desviado a un sitio falso, y la FTC advierte que los estafadores crean sitios web falsos y los cifran para que parezcan seguros: sus datos pueden ir cifrados por el camino, pero no estarán a salvo de los estafadores que administran el sitio ^[1].

¿Puede alguien en la misma red redirigir mi tráfico?

Sí, en algunos casos. La técnica TunnelVision de 2024 (CVE-2024-3661) demostró que un atacante en la misma red local puede aprovechar una función de DHCP, el protocolo que distribuye la configuración de red, para leer, interrumpir o posiblemente modificar tráfico que se suponía protegido por una VPN ^[7]. Los investigadores que la descubrieron concluyeron que las VPN no se diseñaron para mitigar ataques en la red local física ^[10].

¿Son más arriesgadas las redes abiertas que las protegidas con contraseña?

La CISA señala que muchos puntos de acceso públicos no están protegidos y que el tráfico que transportan no está cifrado, por lo que los datos enviados «en claro» pueden capturarse con herramientas de rastreo (sniffing); aconseja usar puntos de acceso con al menos cifrado WPA2 ^[3]. WPA2 y WPA3 son protocolos de seguridad Wi-Fi que cifran el tráfico entre su dispositivo y el punto de acceso ^[3].

Una contraseña compartida escrita en la pared de una cafetería no convierte una red en privada, porque todo el que la conoce puede conectarse; los estándares Wi-Fi más recientes abordan parte de este riesgo. La Wi-Fi Alliance, el organismo del sector que certifica los productos Wi-Fi, afirma que WPA3 es obligatorio para los dispositivos Wi-Fi CERTIFIED y ofrece a los usuarios de WPA3-Personal una mayor protección frente a los intentos de adivinar la contraseña ^[4]. También ofrece Wi-Fi Enhanced Open, que proporciona cifrado de datos sin autenticación en las redes abiertas, una mejora frente a las redes abiertas tradicionales sin ninguna protección, y está diseñado para interoperar con redes heredadas, incluso las que usan un portal cautivo (la página de inicio de sesión que muestran muchos hotspots) ^[4].

El cifrado del Wi-Fi es una capa adicional útil, pero lo que protege sus datos hasta llegar al sitio es el propio cifrado HTTPS de los sitios web ^[1][6].

¿Se puede hackear el propio Wi-Fi?

Sí, y la historia muestra por qué importan las actualizaciones. En 2017, el investigador Mathy Vanhoef reveló KRACK (ataques de reinstalación de claves), graves debilidades de WPA2 que permitían a un atacante dentro del alcance leer información que se suponía cifrada de forma segura y, según la configuración, inyectar datos ^[5]. Para evitar el ataque, los usuarios tenían que actualizar los productos afectados en cuanto hubiera actualizaciones de seguridad disponibles ^[5].

En mayo de 2021, Vanhoef reveló FragAttacks, un conjunto de vulnerabilidades que afectaban a todos los protocolos de seguridad Wi-Fi modernos, incluido WPA3, e incluso al WEP original ^[6]. Tres eran fallas de diseño del estándar Wi-Fi, pero resultaban difíciles de aprovechar porque requieren interacción del usuario o configuraciones poco habituales; la mayor preocupación eran varios errores de programación en productos Wi-Fi, porque algunos eran triviales de explotar ^[6]. Las actualizaciones se prepararon durante un proceso de divulgación coordinada de 9 meses supervisado por la Wi-Fi Alliance y el ICASI ^[6].

Vanhoef señaló que, cuando un sitio web usa HSTS, una configuración que obliga a usar HTTPS, los datos transmitidos no podían robarse mediante estas fallas, y que las aplicaciones móviles recientes usan HTTPS por defecto ^[6]. En otras palabras, el cifrado por capas es la razón por la que una falla del Wi-Fi no lo expone todo automáticamente.

¿Cómo protegerse en una red Wi-Fi pública?

1. Confirme el nombre de la red. Pida al personal el nombre exacto del hotspot y la contraseña antes de conectarse, para evitar los evil twins ^[3].
2. Compruebe que haya HTTPS. Busque el candado o «https» antes de introducir cualquier dato sensible ^[1].
3. Desactive el uso compartido de archivos. La CISA afirma que una red pública no protegida, combinada con el uso compartido de archivos, podría permitir que un usuario malintencionado accediera a archivos que usted compartió por error; permita el uso compartido solo en redes domésticas reconocidas ^[3].
4. Mantenga el software actualizado. Actualice el software de seguridad, el sistema operativo y el navegador, y active las actualizaciones automáticas en su teléfono ^[1].
5. Use contraseñas seguras y autenticación de dos factores. La FTC recomienda ambas, para que una contraseña robada no baste por sí sola ^[1].
6. Deje activadas las direcciones de Wi-Fi privadas. Apple recomienda mantener activadas las direcciones privadas en todas las redes que las admitan ^[8].
7. Fíjese en su entorno. La CISA advierte que alguien puede, simplemente, mirar por encima de su hombro mientras usted escribe ^[3].

¿Necesita una VPN en una red Wi-Fi pública?

No necesariamente. La EFF afirma que una VPN bien configurada puede proteger el tráfico sin cifrar y podría ocultar sus metadatos a alguien que escuche en la red local, pero el propio proveedor de la VPN los vería todos ^[2]. Sugiere que una VPN puede ser útil cuando usted debe usar una red pública en la que no confía, porque no sabe quién la administra, y dispone de una VPN en la que sí confía ^[2].

• Ventaja: oculta qué sitios visita a las personas conectadas al mismo Wi-Fi ^[2].
• Costo: traslada esa visibilidad a la empresa de VPN, que puede registrar o vender datos si su política lo permite ^[2].
• Límite: una VPN desactualizada puede no protegerlo bien; la EFF cita TunnelVision como ejemplo ^[2], y en las pruebas la VPN siguió mostrándose como conectada mientras se filtraba el tráfico ^[10].

También hay inconvenientes prácticos: el Centro Nacional de Ciberseguridad del Reino Unido señala que algunas redes de terceros restringen o bloquean el tráfico VPN IPsec, y que forzar todo el tráfico a través de una VPN puede chocar con los portales cautivos del Wi-Fi público ^[11]. Otra opción, como precaución general, es usar los datos móviles de su propio teléfono cuando no confíe en un hotspot, porque así evita compartir una red local con desconocidos.