Una Wi-Fi falsa, o gemelo malvado, es un punto de acceso que copia el nombre de una red real para que tu móvil se conecte a ella. Quien la controla ve qué webs visitas, puede manipular el tráfico sin cifrar y mostrarte una página de acceso falsa. Pregunta al personal el nombre exacto, no escribas nunca contraseñas ni tarjetas en una página de acceso a la Wi-Fi y usa datos móviles o una VPN en redes públicas.
Te sientas en una cafetería, abres la lista de redes y ves Cafe_WiFi. La tocas, quizá aceptas una página de acceso y ya tienes internet. Lo que no puedes ver es si esa red es de la cafetería o de alguien en la mesa de al lado con un portátil y una antena wifi barata.
Esa segunda red es una Wi-Fi gemela o gemelo malvado (evil twin): un punto de acceso falso que copia el nombre de una red real. Es un truco antiguo y sigue funcionando por la forma en que la wifi decide en qué red confiar.
Por qué el móvil cae en un nombre copiado
- Las redes wifi se identifican por su nombre. En una red abierta, nada demuestra que el punto de acceso llamado
Cafe_WiFisea el de la cafetería. Cualquiera puede emitir cualquier nombre. - El móvil vuelve a las redes que conoce. Si ya usaste
Aeropuerto_WiFi_Gratis, tu móvil puede unirse a cualquier red con ese nombre, en cualquier sitio, sin preguntarte. - Suele ganar la señal más fuerte. Una red gemela más cerca de ti que el router de verdad parece la mejor opción.
- Una contraseña en la pared no ayuda. Si todos los clientes la conocen, el atacante también, y puede montar una red gemela con el mismo nombre y la misma contraseña.
Qué puede ver y hacer un punto de acceso falso
Quien gestiona un punto de acceso, falso o de verdad, está entre tú e internet. En uno falso, esa persona es hostil.
| Qué puede hacer | Cómo | Qué lo impide |
|---|---|---|
| Ver qué webs y apps usas | Las consultas DNS normales y los nombres de los sitios en las conexiones cifradas | El DNS cifrado o una VPN |
| Cambiar adónde llegas | Reescribiendo respuestas DNS o manipulando páginas sin HTTPS | HTTPS sin saltarse avisos; una VPN con su propio DNS |
| Pedirte datos | Una página de acceso falsa que pide la contraseña del correo, entrar con una red social o un número de tarjeta | No escribir nunca esos datos en una página de acceso a la Wi-Fi |
| Leer el contenido de las páginas HTTPS | No puede, salvo que aceptes un aviso de certificado | Tomar cualquier aviso de certificado como una señal de stop |
La tabla también trae buenas noticias. Casi todo lo que haces hoy va por HTTPS, que protege el contenido de las páginas; por eso la Comisión Federal de Comercio de EE. UU. considera que la wifi pública es «normalmente segura» para ese contenido. Además, muchas webs usan HSTS (RFC 6797), que obliga al navegador a rechazar conexiones inseguras con ellas y a no dejarte saltar los errores de certificado. El poder real de una red gemela está en lo que queda: la lista de sitios que visitas, las webs sin HTTPS y lo que escribas en sus páginas. En qué puede ver el dueño del wifi repasamos esa lista con detalle, y la herramienta Qué ve tu red Wi-Fi te la muestra con tu propia conexión.
Señales de alarma
Ninguna demuestra un ataque, pero todas son motivo para parar y comprobar:
- Dos redes con el mismo nombre, una abierta y otra con candado, o el mismo nombre dos veces con distinta intensidad de señal.
- Una página de acceso que pide demasiado: la contraseña del correo o de una red social, un número de tarjeta para una wifi «gratis», o instalar una app o un perfil.
- Un aviso de certificado en el navegador en una web que normalmente funciona. Sal; no lo aceptes.
- Un nombre casi correcto:
Aeropuerto-WiFi-Gratiscuando el oficial esAeropuerto WiFi Gratis. - Webs con algo raro, o una página de inicio de sesión de tu banco en una dirección que no reconoces.
Cómo protegerte, paso a paso
- Pregunta al personal el nombre exacto de la red y si tiene contraseña. Los carteles y los tiques también ayudan.
- Deja de conectarte solo a redes abiertas. En Android, abre Ajustes › Redes e internet › Internet, toca el engranaje junto a una red pública guardada y desactiva Conectar automáticamente, o toca Olvidar al acabar el viaje.
- No escribas nunca contraseñas de tus cuentas ni números de tarjeta en una página de acceso a la Wi-Fi. La página de una cafetería o un hotel de verdad pide aceptar condiciones, o un número de habitación o un código del tique.
- Toma los avisos de certificado como una señal de stop. A menudo son la única pista visible de que alguien se ha metido en medio.
- Usa los datos móviles para lo delicado, como la banca o cambiar contraseñas, cuando puedas.
- Usa una VPN que se conecte sola en las redes que no son de confianza, con el kill switch de Android activado para que no salga nada mientras conecta. Nuestra guía sobre el kill switch en Android explica cómo.
Qué hace y qué no hace una VPN frente a una Wi-Fi gemela
Sí hace:
- Cifrar todo entre tu móvil y el servidor VPN, así que la red gemela ve una sola conexión cifrada en lugar de tus webs.
- Responder a las consultas DNS dentro del túnel, para que la red gemela no pueda mandarte a direcciones falsas.
- Negarse a hablar con impostores. WireGuard solo completa el handshake con un servidor cuya clave pública ya conoce la app, así que un punto de acceso falso no puede hacerse pasar por el servidor VPN.
No hace:
- Protegerte antes de conectarse. La página de acceso falsa aparece primero, y una VPN no puede impedir que escribas en ella.
- Frenar el phishing. Si metes tu contraseña en una web falsa, el cifrado no ayuda.
- Arreglar un móvil que ya está infectado.
¿Y WPA3 y las redes «seguras»?
Los estándares de seguridad wifi más nuevos ayudan, con límites. Según la Wi-Fi Alliance, WPA3-Personal da «más protección frente a los intentos de adivinar la contraseña», y Wi-Fi Enhanced Open añade cifrado a las redes abiertas. Ninguno demuestra quién gestiona el punto de acceso cuando la contraseña es pública o no hay contraseña. Las redes de empresa con usuario propio sí pueden demostrar su identidad, pero solo si tu móvil está configurado para comprobar el certificado de la red. El INCIBE recoge los consejos básicos para conectarte con seguridad en redes públicas.
Cómo ayuda PryVPN en la wifi pública
- Conexión automática en Wi-Fi que no son de confianza. En Ajustes › Conexión automática y Wi-Fi, activa En Wi-Fi que no son de confianza y PryVPN se conectará en cualquier red que no hayas marcado como de confianza. El artículo de ayuda sobre la wifi pública da los detalles.
- Las páginas de acceso, a propósito. PryVPN detecta la página de acceso de la red y te pide iniciar sesión primero, en lugar de fallar en silencio (páginas de acceso a la Wi-Fi). Es también tu momento para comprobar que la página solo pide lo que pediría una cafetería.
- DNS dentro del túnel. Las consultas van al resolutor de nuestro servidor, que responde en memoria y no las registra.
Preguntas frecuentes
¿Una Wi-Fi falsa puede robarme las contraseñas?
Solo si se las das: escribiéndolas en sus páginas, aceptando un aviso de certificado o usando una web sin HTTPS. Con HTTPS y una VPN, ve datos cifrados que no puede leer.
¿La wifi con contraseña de una cafetería está a salvo de las redes gemelas?
No del todo. Si la contraseña está impresa en la carta, el atacante también puede usarla. La contraseña impide que entren desconocidos; no demuestra cuál es el punto de acceso de verdad.
¿HTTPS me protege en un punto de acceso falso?
Protege el contenido de la página, siempre que no aceptes nunca un aviso de certificado. No oculta qué webs visitas ni puede impedir que escribas en una página de acceso falsa.
¿Mejor no usar nunca la wifi pública?
Para lo delicado, los datos móviles son la opción más sencilla. Para navegar a diario, la wifi pública con HTTPS y una VPN está bien. Nuestra guía sobre si la wifi pública es segura va más allá.
Si quieres una VPN que se active sola al entrar en una red que no es de confianza, puedes unirte a la beta de PryVPN.
Fuentes
¿Has visto un error? Escríbenos a support@pryvpn.com; lo corregimos y actualizamos la fecha.
