Una Wi-Fi falsa, o gemelo malvado, es un punto de acceso que copia el nombre de una red real para que tu celular se conecte a ella. Quien la controla ve qué sitios visitas, puede manipular el tráfico sin cifrar y mostrarte una página de acceso falsa. Pregúntale al personal el nombre exacto, nunca escribas contraseñas ni tarjetas en una página de acceso a la Wi-Fi y usa datos móviles o una VPN en redes públicas.
Te sientas en una cafetería, abres la lista de redes y ves Cafe_WiFi. La tocas, quizá aceptas una página de acceso y ya tienes internet. Lo que no puedes ver es si esa red es de la cafetería o de alguien en la mesa de al lado con una laptop y una antena wifi barata.
Esa segunda red es una Wi-Fi gemela o gemelo malvado (evil twin): un punto de acceso falso que copia el nombre de una red real. Es un truco viejo y sigue funcionando por la forma en que el wifi decide en qué red confiar.
Por qué el celular cae en un nombre copiado
- Las redes wifi se identifican por su nombre. En una red abierta, nada demuestra que el punto de acceso llamado
Cafe_WiFisea el de la cafetería. Cualquiera puede emitir cualquier nombre. - El celular vuelve a las redes que conoce. Si ya usaste
Aeropuerto_WiFi_Gratis, tu celular puede unirse a cualquier red con ese nombre, en cualquier lugar, sin preguntarte. - Suele ganar la señal más fuerte. Una red gemela más cerca de ti que el router de verdad parece la mejor opción.
- Una contraseña en la pared no ayuda. Si todos los clientes la conocen, el atacante también, y puede montar una red gemela con el mismo nombre y la misma contraseña.
Qué puede ver y hacer un punto de acceso falso
Quien administra un punto de acceso, falso o de verdad, está entre tú e internet. En uno falso, esa persona es hostil.
| Qué puede hacer | Cómo | Qué lo impide |
|---|---|---|
| Ver qué sitios y apps usas | Las consultas DNS normales y los nombres de los sitios en las conexiones cifradas | El DNS cifrado o una VPN |
| Cambiar adónde llegas | Reescribiendo respuestas DNS o manipulando páginas sin HTTPS | HTTPS sin saltarse avisos; una VPN con su propio DNS |
| Pedirte datos | Una página de acceso falsa que pide la contraseña del correo, entrar con una red social o un número de tarjeta | Nunca escribir esos datos en una página de acceso a la Wi-Fi |
| Leer el contenido de las páginas HTTPS | No puede, salvo que aceptes un aviso de certificado | Tomar cualquier aviso de certificado como una señal de alto |
La tabla también trae buenas noticias. Casi todo lo que haces hoy va por HTTPS, que protege el contenido de las páginas; por eso la Comisión Federal de Comercio de EE. UU. considera que la wifi pública es «normalmente segura» para ese contenido. Además, muchos sitios usan HSTS (RFC 6797), que obliga al navegador a rechazar conexiones inseguras con ellos y a no dejarte saltar los errores de certificado. El poder real de una red gemela está en lo que queda: la lista de sitios que visitas, los sitios sin HTTPS y lo que escribas en sus páginas. En qué puede ver el dueño del wifi repasamos esa lista con detalle, y la herramienta Qué ve tu red Wi-Fi te la muestra con tu propia conexión.
Señales de alarma
Ninguna demuestra un ataque, pero todas son motivo para detenerte y comprobar:
- Dos redes con el mismo nombre, una abierta y otra con candado, o el mismo nombre dos veces con distinta intensidad de señal.
- Una página de acceso que pide demasiado: la contraseña del correo o de una red social, un número de tarjeta para un wifi «gratis», o instalar una app o un perfil.
- Un aviso de certificado en el navegador en un sitio que normalmente funciona. Sal; no lo aceptes.
- Un nombre casi correcto:
Aeropuerto-WiFi-Gratiscuando el oficial esAeropuerto WiFi Gratis. - Sitios con algo raro, o una página de inicio de sesión de tu banco en una dirección que no reconoces.
Cómo protegerte, paso a paso
- Pregúntale al personal el nombre exacto de la red y si tiene contraseña. Los carteles y los tickets también ayudan.
- Deja de conectarte solo a redes abiertas. En Android, abre Configuración › Redes e Internet › Internet, toca el engranaje junto a una red pública guardada y desactiva Conectar automáticamente, o toca Olvidar al terminar el viaje.
- Nunca escribas contraseñas de tus cuentas ni números de tarjeta en una página de acceso a la Wi-Fi. La página de una cafetería o un hotel de verdad pide aceptar condiciones, o un número de habitación o un código del ticket.
- Toma los avisos de certificado como una señal de alto. Muchas veces son la única pista visible de que alguien se metió en medio.
- Usa los datos móviles para lo delicado, como el banco o cambiar contraseñas, cuando puedas.
- Usa una VPN que se conecte sola en las redes que no son de confianza, con el kill switch de Android activado para que no salga nada mientras conecta. Nuestra guía sobre el kill switch en Android explica cómo.
Qué hace y qué no hace una VPN frente a una Wi-Fi gemela
Sí hace:
- Cifrar todo entre tu celular y el servidor VPN, así que la red gemela ve una sola conexión cifrada en lugar de tus sitios.
- Responder a las consultas DNS dentro del túnel, para que la red gemela no pueda mandarte a direcciones falsas.
- Negarse a hablar con impostores. WireGuard solo completa el handshake con un servidor cuya clave pública ya conoce la app, así que un punto de acceso falso no puede hacerse pasar por el servidor VPN.
No hace:
- Protegerte antes de conectarse. La página de acceso falsa aparece primero, y una VPN no puede impedir que escribas en ella.
- Frenar el phishing. Si pones tu contraseña en un sitio falso, el cifrado no ayuda.
- Arreglar un celular que ya está infectado.
¿Y WPA3 y las redes «seguras»?
Los estándares de seguridad wifi más nuevos ayudan, con límites. Según la Wi-Fi Alliance, WPA3-Personal da «más protección frente a los intentos de adivinar la contraseña», y Wi-Fi Enhanced Open agrega cifrado a las redes abiertas. Ninguno demuestra quién administra el punto de acceso cuando la contraseña es pública o no hay contraseña. Las redes de empresa con usuario propio sí pueden demostrar su identidad, pero solo si tu celular está configurado para comprobar el certificado de la red. El INCIBE, el instituto de ciberseguridad de España, recoge los consejos básicos para conectarte con seguridad en redes públicas.
Cómo ayuda PryVPN en el wifi público
- Conexión automática en Wi-Fi que no son de confianza. En Ajustes › Conexión automática y Wi-Fi, en la app, activa En Wi-Fi que no son de confianza y PryVPN se conectará en cualquier red que no hayas marcado como de confianza. El artículo de ayuda sobre la wifi pública da los detalles.
- Las páginas de acceso, a propósito. PryVPN detecta la página de acceso de la red y te pide iniciar sesión primero, en lugar de fallar en silencio (páginas de acceso a la Wi-Fi). Es también tu momento para comprobar que la página solo pide lo que pediría una cafetería.
- DNS dentro del túnel. Las consultas van al resolutor de nuestro servidor, que responde en memoria y no las registra.
Preguntas frecuentes
¿Una Wi-Fi falsa puede robarme las contraseñas?
Solo si se las das: escribiéndolas en sus páginas, aceptando un aviso de certificado o usando un sitio sin HTTPS. Con HTTPS y una VPN, ve datos cifrados que no puede leer.
¿El wifi con contraseña de una cafetería está a salvo de las redes gemelas?
No del todo. Si la contraseña está impresa en el menú, el atacante también puede usarla. La contraseña impide que entren desconocidos; no demuestra cuál es el punto de acceso de verdad.
¿HTTPS me protege en un punto de acceso falso?
Protege el contenido de la página, siempre que nunca aceptes un aviso de certificado. No oculta qué sitios visitas ni puede impedir que escribas en una página de acceso falsa.
¿Mejor no usar nunca el wifi público?
Para lo delicado, los datos móviles son la opción más sencilla. Para navegar a diario, el wifi público con HTTPS y una VPN está bien. Nuestra guía sobre si la wifi pública es segura va más allá.
Si quieres una VPN que se active sola al entrar en una red que no es de confianza, puedes unirte a la beta de PryVPN.
Fuentes
¿Viste un error? Escríbenos a support@pryvpn.com; lo corregimos y actualizamos la fecha.
