La verdad sobre el Wi-Fi público

Lo que nadie te cuenta sobre conectarte en cafeterías, aeropuertos y hoteles

Vivimos pegados a internet. No exagero. Cuando salimos de casa, lo primero que buscamos en cualquier sitio donde vayamos a pasar más de cinco minutos es una red Wi-Fi a la que conectarnos. Y los establecimientos, conscientes de esto, ofrecen Wi-Fi gratuito en cafeterías, restaurantes, aeropuertos, hoteles, centros comerciales, transporte público y prácticamente cualquier sitio. La promesa es buena: internet gratis, sin gastar datos móviles, con buena velocidad para ver vídeos, trabajar o lo que sea. Pero detrás de esa comodidad hay una realidad que muy poca gente conoce realmente y que conviene tener clara. En este artículo voy a contarte la verdad sobre el Wi-Fi público, sin alarmismos pero sin endulzar, para que tomes decisiones informadas la próxima vez que veas esa red abierta que te invita a conectarte.

El primer mito: "yo no tengo nada importante en el móvil"

Antes de meternos en lo técnico, vamos a desmontar el mito más extendido sobre las redes públicas. Mucha gente piensa "yo no tengo nada importante, ¿qué pueden hacerme?". Pues bien, todos tenemos cosas importantes en nuestros dispositivos, aunque no lo creamos. Tus correos personales, tu sesión iniciada de Instagram, las fotos en la galería, los chats de WhatsApp, las cuentas bancarias guardadas en el navegador, las tarjetas en aplicaciones de compras, las contraseñas autocompletadas... Todo eso es información que un atacante puede aprovechar si logra interceptar tu conexión.

Y aunque pienses que "no eres lo bastante importante" para que alguien te ataque específicamente, los ataques en Wi-Fi público no funcionan así. Los ciberdelincuentes no eligen víctimas concretas, lanzan redes amplias para capturar a quien caiga. Si estás conectado a una red comprometida en un aeropuerto con cinco mil personas, eres simplemente uno más en la lista de víctimas potenciales.

Cómo funciona realmente una red Wi-Fi pública

Para entender los riesgos, conviene entender cómo funciona técnicamente una red Wi-Fi. Cuando te conectas a una red, tu dispositivo se comunica con un punto de acceso (el router del establecimiento) que conecta con internet. Todos los datos que envías y recibes pasan por ese punto de acceso. En una red privada bien configurada con cifrado WPA2 o WPA3, esa comunicación está cifrada y solo tú y el router podéis "leer" lo que se envía.

En una red pública abierta (sin contraseña) o con contraseña compartida públicamente, ese cifrado entre tu dispositivo y el router es muy débil o inexistente. Esto significa que cualquier persona con conocimientos técnicos y las herramientas adecuadas, conectada a la misma red, puede potencialmente "escuchar" lo que envías y recibes. Es como hablar en voz alta en una sala llena de gente: cualquiera que ponga atención puede oírte.

Los principales ataques que te pueden ocurrir

Vamos a hablar de los riesgos reales y cómo se materializan en la práctica. No es ciencia ficción, son técnicas conocidas y relativamente accesibles para gente con conocimientos básicos de ciberseguridad ofensiva.

El ataque Man in the Middle (MitM) es probablemente el más conocido. Consiste en que un atacante se sitúa "en medio" de tu comunicación con internet, interceptando todo el tráfico. Tu dispositivo cree que se comunica directamente con la web que visitas, pero en realidad todo pasa primero por el atacante. Puede ver lo que envías, modificar lo que recibes, y capturar credenciales si la web no está bien protegida.

El sniffing de paquetes consiste simplemente en "escuchar" el tráfico de la red. Con herramientas como Wireshark, perfectamente legales y disponibles para cualquiera, una persona puede ver todo el tráfico que circula por una red Wi-Fi abierta. Si visitas webs sin cifrado HTTPS, ese tráfico es visible para quien sepa mirarlo.

Los puntos de acceso falsos (Evil Twin) son redes Wi-Fi creadas por un atacante que imitan el nombre de la red legítima del establecimiento. Tú ves "Starbucks_WiFi" y te conectas creyendo que es la del local, pero en realidad es la red del señor de la mesa de al lado que ha configurado su portátil para crear una red trampa. Todo tu tráfico pasa entonces por su equipo.

Los ataques de envenenamiento ARP permiten al atacante hacer que tu dispositivo crea que su ordenador es el router de la red, redirigiéndole todo el tráfico para luego enviarlo al router real. Es invisible para ti, pero todo lo que haces pasa por sus manos.

Lo que un atacante puede ver con relativa facilidad

Si estás en una red insegura, un atacante con conocimientos puede potencialmente acceder a:

Tu actividad web si visitas páginas sin HTTPS. Cualquier página HTTP (sin la S de seguro) es perfectamente visible incluyendo lo que escribes en formularios.

Las webs que visitas incluso aunque sean HTTPS, mediante la información de DNS que indica qué dominios consultas.

Sesiones activas en aplicaciones y webs si no implementan correctamente la seguridad, especialmente aplicaciones más antiguas o mal diseñadas.

Imágenes y archivos que descargues por canales no cifrados.

Credenciales de servicios que envíen datos sin cifrado adecuado (cada vez menos pero todavía ocurre).

Información de tu dispositivo como modelo, sistema operativo, y a veces datos más específicos.

El mito del candado HTTPS: cierto pero limitado

Una protección importante son las conexiones HTTPS. Cuando ves el candado en la barra del navegador y la URL empieza por https://, significa que la comunicación entre tu navegador y esa web está cifrada de extremo a extremo. Esto sí protege el contenido de lo que envías y recibes, incluso en redes inseguras.

La buena noticia es que prácticamente todas las webs importantes hoy usan HTTPS por defecto. Tu banco, tu correo, redes sociales, plataformas de compras... todas. La mala noticia es que no es infalible: existen ataques que pueden forzar conexiones a versiones inseguras (downgrade attacks), webs mal configuradas que mezclan contenido seguro e inseguro, certificados falsos en redes corporativas comprometidas, y otras vulnerabilidades. Además, aunque el contenido esté cifrado, los metadatos (qué webs visitas, cuándo, cuánto tiempo) siguen siendo visibles.

Aplicaciones móviles: el agujero menos conocido

Mientras que los navegadores modernos avisan claramente cuando una conexión no es segura, las aplicaciones móviles son una caja negra. Cuando usas una app, no sabes realmente si está usando conexiones cifradas correctamente, qué información envía, ni cómo la protege. Algunas apps están perfectamente diseñadas con seguridad de primera línea, pero otras (especialmente las más pequeñas o gratuitas) tienen implementaciones de seguridad deficientes que pueden filtrar información valiosa.

Apps de bancos y servicios financieros importantes suelen estar bien protegidas con técnicas como certificate pinning, pero apps de juegos, redes sociales menores, herramientas gratuitas y demás pueden ser un coladero. Cuando te conectas a Wi-Fi público, todas esas apps siguen funcionando en segundo plano, sincronizándose, enviando datos. Sin que te enteres.

Riesgos específicos en hoteles y aeropuertos

Hay sitios donde los riesgos son particularmente altos:

Hoteles: las redes Wi-Fi de hoteles tienen históricamente seguridad muy débil. Muchas usan claves compartidas obvias o portales cautivos vulnerables. Además, son objetivo frecuente de espionaje industrial: si eres ejecutivo o profesional con información valiosa, los hoteles han sido escenario de ataques dirigidos.

Aeropuertos: con miles de personas conectándose a diario, son caldo de cultivo perfecto para puntos de acceso falsos. Además, los viajeros suelen estar más distraídos, con prisa, y conectándose a múltiples redes durante el viaje.

Centros comerciales y cafeterías: con redes muy abiertas y muchísimos usuarios, son entornos donde se prueban técnicas de captura de credenciales.

Transporte público: el Wi-Fi de trenes, autobuses, metros y aviones suele tener seguridad mínima y muchas personas trabajando con información sensible mientras se desplazan.

Bibliotecas y universidades: con sus redes abiertas para muchos usuarios, son entornos donde estudiantes y profesionales manejan información académica y personal sin protección adicional.

El portal cautivo: esa pantalla que pide datos

Habrás visto que muchas redes públicas te llevan a una pantalla donde tienes que aceptar términos, registrarte con tu email, dar un teléfono o incluso pagar. Eso se llama portal cautivo. Aunque parece inocente, tiene varios riesgos:

Los datos que introduces (email, teléfono, etc.) se almacenan en algún servidor. Si esa base de datos se compromete, tus datos circulan.

Algunas redes piden permisos extensivos para acceder, comprometiendo tu privacidad incluso si la red en sí está bien configurada.

Los portales cautivos pueden ser falsificados por atacantes, capturando los datos que metes pensando que entras a la red.

Muchos exigen aceptar términos que incluyen seguimiento de tu actividad, venta de datos a terceros, o instalación de cookies de seguimiento.

Como mínimo, usa datos falsos o un email desechable cuando te pidan registrarte para acceder a una red pública.

La verdad sobre las VPN: tu mejor aliada

La protección más efectiva contra los riesgos del Wi-Fi público es una VPN (Red Privada Virtual). Una VPN cifra todo el tráfico de tu dispositivo antes de enviarlo, creando un túnel seguro hasta los servidores del proveedor VPN. El atacante en la red solo ve tráfico cifrado que no puede interpretar.

Pero ojo, no todas las VPN son iguales. Hay puntos importantes a considerar:

Evita las VPN gratuitas salvo casos muy específicos. Si el servicio es gratis, tú eres el producto: muchas VPN gratuitas venden tu información, inyectan publicidad, o tienen seguridad débil.

Elige proveedores con buena reputación como NordVPN, ExpressVPN, ProtonVPN, Mullvad o similares. Pagas pero obtienes seguridad real.

Comprueba políticas de no logs: idealmente la VPN no debe guardar registros de tu actividad.

Jurisdicción importa: VPNs basadas en países con leyes de privacidad estrictas son preferibles.

Funcionalidades de seguridad como kill switch (que corta internet si la VPN se cae), protección DNS, y otras son fundamentales.

Una VPN de calidad cuesta alrededor de 3-5 euros al mes y vale absolutamente la pena si te conectas a redes públicas con frecuencia.

Configuraciones que deberías hacer en tu dispositivo

Más allá de la VPN, hay configuraciones básicas que reducen significativamente tu exposición:

Desactiva la conexión automática a redes Wi-Fi conocidas. Aunque parezca cómodo, permite ataques donde el atacante simula una red conocida y tu dispositivo se conecta automáticamente.

Desactiva el descubrimiento de red cuando uses redes públicas. En Windows, marca la red como "Pública" en lugar de "Privada". En Mac, comprueba las opciones de compartición y desactívalas.

Desactiva el Bluetooth si no lo necesitas. Es vector adicional de ataques.

Mantén el firewall activado y bien configurado.

Actualiza el sistema operativo y las apps regularmente. Muchos ataques aprovechan vulnerabilidades ya parcheadas en versiones recientes.

Cifra el contenido de tu disco con BitLocker (Windows), FileVault (Mac) o cifrado equivalente en móvil. Si te roban el dispositivo, la información estará protegida.

Cosas que NO deberías hacer en Wi-Fi público

Si te conectas a una red pública sin protección adicional como VPN, hay cosas que es mejor evitar:

Acceder a tu banco o servicios financieros. Aunque tengan HTTPS, el riesgo no compensa la comodidad.

Hacer compras con tarjeta en webs nuevas o desconocidas.

Acceder a información laboral confidencial o de clientes.

Iniciar sesión en cuentas importantes (correo principal, redes sociales con información personal).

Manejar criptomonedas desde wallets en línea.

Subir documentos confidenciales a servicios cloud por canales no verificados.

Conectar dispositivos USB del establecimiento (en hoteles a veces ofrecen cargadores USB que pueden ser comprometidos).

Cuándo es relativamente seguro usar Wi-Fi público

No estoy diciendo que nunca uses Wi-Fi público. Hay usos para los que es perfectamente aceptable:

Navegar por webs informativas o de entretenimiento sin necesidad de iniciar sesión.

Ver vídeos o escuchar música en servicios donde tu sesión sea pública.

Consultar webs de noticias, prensa, contenido general.

Usar mapas y navegación sin información sensible.

Hacer videollamadas familiares por servicios cifrados de extremo a extremo.

Si vas a hacer cosas más sensibles, enciende la VPN y entonces sí puedes hacer prácticamente cualquier cosa con tranquilidad razonable.

La alternativa: tus datos móviles

A menudo olvidamos que ya pagamos por una conexión a internet móvil. Si tienes datos suficientes, usar tu conexión móvil suele ser más seguro que conectarte a un Wi-Fi público desconocido. La red de tu operador, aunque no perfecta, tiene cifrado entre tu dispositivo y la antena, y los ataques son técnicamente más complejos.

Si tienes plan con datos abundantes o ilimitados, considera usar el anclaje a red o tethering desde tu móvil para tu portátil cuando trabajes fuera. Es probablemente la opción más segura sin necesidad de VPN.

Cómo identificar redes Wi-Fi sospechosas

Algunos indicadores de que una red puede ser falsa o maliciosa:

Nombres ligeramente diferentes a los esperados (FreeWiFi_Starbucks en lugar de Starbucks_WiFi).

Múltiples redes con nombres muy similares en el mismo sitio.

Redes abiertas donde el establecimiento normalmente tiene contraseña.

Velocidad sospechosamente lenta o conexiones intermitentes.

Páginas extrañas o avisos de seguridad al conectarte.

Solicitudes excesivas de información personal en el portal cautivo.

Ante la duda, pregunta al personal del establecimiento cuál es la red oficial y la contraseña.

El caso especial de los empleados remotos

Si trabajas en remoto y manejas información de la empresa, los riesgos del Wi-Fi público son particularmente importantes. Una sola fuga de información puede comprometer datos de clientes, secretos comerciales, credenciales corporativas o información financiera valiosa.

Las empresas serias proporcionan VPN corporativa para trabajadores remotos. Si la tuya no la proporciona, exígela. Si estás como freelance o autónomo trabajando con información sensible de clientes, contrata tu propia VPN sin pensarlo.

Considera también establecer una política personal de qué cosas haces y qué no haces en redes públicas, independientemente de las herramientas que uses.

Smartphones: cuidado con las apps en segundo plano

Cuando te conectas a una red pública con tu smartphone, no solo se conectan las apps que abres conscientemente. Muchas apps tienen actividad en segundo plano: sincronización de correo, notificaciones de redes sociales, actualizaciones de mapas, copia automática de fotos a la nube...

Toda esa actividad pasa por la red insegura. Aunque las apps importantes deberían usar conexiones seguras, no siempre es así. Considera activar el modo avión y conectar solo el Wi-Fi cuando vayas a usar conscientemente algo en redes públicas no confiables. Esto reduce drásticamente la superficie de exposición.

Las contraseñas: el eslabón más débil

Por mucho que protejas tu conexión, si reutilizas contraseñas en múltiples sitios, una sola filtración puede comprometer toda tu vida digital. Las buenas prácticas de contraseñas son fundamentales y complementan cualquier protección de red:

Usa un gestor de contraseñas como Bitwarden, 1Password o KeePass. Una contraseña diferente, larga y compleja para cada servicio.

Activa la autenticación en dos factores en todos los servicios importantes. Incluso si te roban una contraseña, sin el segundo factor no pueden acceder.

Cambia contraseñas si sospechas que pudiste haber estado en una red comprometida.

Revisa sesiones activas en tus cuentas importantes periódicamente para detectar accesos no autorizados.

Mi consejo personal para usar Wi-Fi público

Después de todo lo dicho, mi recomendación práctica para alguien que no quiera complicarse la vida pero quiera protegerse razonablemente:

Contrata una VPN de pago decente. Cuesta poco y soluciona el 90% de los problemas.

Activa la VPN siempre que te conectes a una red pública. Sin excepciones.

Mantén tus dispositivos actualizados y con sistemas operativos recientes.

Para cosas importantes (banca, trabajo confidencial), usa datos móviles o espera a estar en una red conocida.

Acostúmbrate a usar contraseñas únicas con un gestor de contraseñas y autenticación en dos factores.

Y por último, mantén una dosis sana de desconfianza ante redes desconocidas y solicitudes de información en portales cautivos.

Reflexión final: tecnología y responsabilidad personal

El Wi-Fi público no es el demonio. Es una tecnología útil que, como muchas otras, requiere que el usuario entienda los riesgos y tome precauciones. Igual que no dejarías la cartera encima de la mesa de un sitio público mientras vas al baño, no deberías dejar tus datos al alcance de cualquiera al usar redes inseguras.

La buena noticia es que la protección está al alcance de cualquiera: con una VPN decente, sistemas actualizados, contraseñas únicas y un poco de sentido común, puedes disfrutar de la comodidad del Wi-Fi público sin convertirte en víctima de los riesgos que entraña. La información que has leído aquí te coloca varios pasos por delante de la mayoría de usuarios. Úsala bien.

Si quieres conocer otros artículos parecidos a La verdad sobre el Wi-Fi público puedes visitar la categoría Internet.