Cómo proteger tus datos en el Wi-Fi público

Por eso, los datos que viajan en claro por una red así están, en principio, disponibles para su interceptación por cualquier otra persona en esa misma red. A continuación: de dónde viene este riesgo, en qué se diferencian WPA2 y WPA3, y qué puedes hacer en pocos minutos para reducirlo.

Por qué el Wi-Fi público es una categoría de riesgo en sí misma

Una red doméstica o de oficina suele tener un único propietario conocido y una contraseña que no se reparte a desconocidos. En una cafetería o un aeropuerto, decenas de dispositivos ajenos se conectan a la vez al mismo punto de acceso, y ese punto de acceso puede haberlo montado cualquiera. Eso da lugar a tres escenarios habituales:

• Interceptación del tráfico (packet sniffing). Si la red es abierta o usa una contraseña compartida por todos sin cifrado adicional a nivel de sesión, cualquier otro participante en esa red puede, técnicamente, analizar el tráfico de otra persona con las herramientas adecuadas.
• Puntos de acceso falsos (rogue access points). Un atacante monta su propia red con un nombre parecido —por ejemplo, «Free_Airport_Wifi» en lugar del nombre oficial del local— y enruta a través de sí mismo el tráfico de todos los dispositivos conectados.
• Ataques de intermediario (man-in-the-middle, MITM). El dispositivo de un atacante se coloca entre tú y el punto de acceso real, y puede alterar el contenido de páginas sin cifrar o redirigirte a formularios de inicio de sesión falsos.

Ninguno de estos escenarios exige que el atacante tenga ningún acceso especial al propio equipo del local: basta con estar en la misma red pública.

WPA2 frente a WPA3: qué cambió para las redes compartidas

WPA2 ha sido durante años el estándar de Wi-Fi, pero tiene limitaciones concretas en el contexto de las redes compartidas: la contraseña es la misma para todos, lo que significa que, dadas condiciones favorables para capturar el handshake, alguien que la conozca podría en teoría intentar descifrar el tráfico de otras personas en esa misma red. WPA3 cierra parte de esa brecha: según un informe técnico de la Agencia de Seguridad Nacional de EE. UU. (NSA) sobre WPA3, el nuevo estándar usa el protocolo SAE en lugar del intercambio de claves de WPA2, lo que hace más difícil adivinar la contraseña sin conexión, y añade forward secrecy: cada sesión obtiene su propia clave única, de modo que una contraseña comprometida más adelante no puede usarse para descifrar tráfico capturado antes. Una función independiente de WPA3, Enhanced Open (OWE), cifra el canal entre un dispositivo y el punto de acceso incluso en redes totalmente abiertas y sin ninguna contraseña, algo que WPA2 simplemente no podía hacer.

Una advertencia importante: muchos routers públicos en cafeterías y hoteles todavía usan WPA2 o ningún cifrado en absoluto, y el soporte de Enhanced Open se está implantando de forma desigual entre los fabricantes de puntos de acceso. Por eso no conviene depender únicamente del estándar de cifrado propio de la red: los pasos siguientes funcionan sea cual sea el estándar de Wi-Fi que use un local en particular.

Checklist: qué hacer antes y durante una conexión

Cada punto lleva menos de cinco minutos y no requiere conocimientos especiales.

1. Desactiva la conexión automática a redes abiertas. La configuración de Wi-Fi de tu teléfono y tu portátil tiene una opción del tipo «conectar automáticamente a redes abiertas»: desactívala para que tu dispositivo no se enganche a puntos de acceso aleatorios sin que lo sepas.
2. Confirma el nombre exacto de la red con el personal del local. Los puntos de acceso falsos suelen tener un nombre casi idéntico al real, con una pequeña errata o una palabra añadida.
3. Desactiva el compartir archivos y carpetas. Mientras estés en una red pública, desactiva el compartir archivos, el compartir impresoras y AirDrop o «compartir con cercanos»: estas funciones están pensadas para redes de confianza.
4. Comprueba que haya HTTPS. El icono del candado y una dirección https:// significan que el contenido de esa página en concreto está cifrado entre tu navegador y el sitio, pero eso no protege la red en sí: la conexión puede seguir analizándose a nivel de metadatos, y las solicitudes DNS pueden seguir interceptándose o falsificándose.
5. Usa un túnel cifrado para todo el tráfico de tu dispositivo, no solo el del navegador; más sobre esto en la siguiente sección.
6. Activa la autenticación de dos factores en tus cuentas clave. Si una contraseña llega a interceptarse o se captura mediante un formulario de phishing, el segundo factor impide que nadie inicie sesión en tu cuenta desde otro dispositivo.
7. «Olvida» la red cuando termines de usarla. Esto evita que tu dispositivo vuelva a conectarse automáticamente a ella la próxima vez que estés cerca.

Cómo el cifrado del tráfico complementa la seguridad de la red

Aunque el propio punto de acceso use un estándar anticuado o no cifre el canal en absoluto, puedes arreglar la situación a nivel de dispositivo. Una app que establece un túnel cifrado entre tu dispositivo y un servidor remoto envuelve todo tu tráfico en ese túnel, no solo el del navegador, sino también el de todas las demás apps. Para un observador externo en la misma red pública, lo único visible es un flujo de datos cifrado, sin forma de leer su contenido ni manipularlo en tránsito. Para un análisis técnico más detallado de cómo funciona el cifrado del tráfico, consulta un artículo aparte: «Qué es realmente el cifrado del tráfico de internet, explicado en términos sencillos».

En la práctica, eso significa que tener a mano una app que cifre tu conexión y se active con un solo toque en los ajustes es un buen hábito para enfrentarte a redes desconocidas. HamikVPN es una de esas herramientas: cifra la conexión en tu teléfono y tu ordenador y se conecta con un solo toque; hay apps para varias plataformas disponibles en la página de descargas.

Una nota sobre Android

En Android 10 y versiones posteriores, el sistema usa por defecto una dirección MAC aleatoria para cada red guardada, tal como se describe en la documentación oficial del Android Open Source Project. La aleatorización dificulta el seguimiento del mismo dispositivo entre distintas redes públicas, pero no protege el contenido de tu tráfico: eso es una tarea distinta, que se resuelve con el cifrado a nivel de app, no con el identificador del adaptador de red. Una lista más completa de ajustes para la protección diaria de Android está en nuestra checklist de seguridad para Android, y los requisitos y funciones de una app de VPN móvil para Android se explican en una página específica.

Qué más conviene revisar

El Wi-Fi público es solo uno de los canales por los que pueden filtrarse datos personales. También conviene revisar las prácticas generales de higiene digital: usa contraseñas distintas para cada servicio, guárdalas en un gestor de contraseñas en lugar de en notas, y activa la autenticación de dos factores; por qué importa y cómo configurarla se explica en nuestro artículo sobre autenticación de dos factores. Si viajas con frecuencia, también conviene tener a mano una checklist más amplia; por ejemplo, nuestra checklist rápida de seguridad para viajes.