Cómo protegerte en redes Wi-Fi públicas (lista práctica para 2026)

Resuelto en su mayor parte por HTTPS:

• Leer el contenido de los sitios web por los que navegas.
• Robar la cookie de tu sesión iniciada en un sitio web normal.
• Capturar tu contraseña mientras inicias sesión en un banco, un proveedor de correo o una red social auténticos.

Sigue siendo de verdad arriesgado:

• Redes «gemelo malvado» (evil twin). Un atacante monta un punto de acceso Wi-Fi llamado «Starbucks WiFi» u «Hotel Guest» con una señal más fuerte que la del legítimo. Tu teléfono se conecta a él sin dudarlo. A partir de ahí, el atacante está en medio de todas tus conexiones y puede mostrarte páginas de inicio de sesión falsas o capturar tus consultas DNS.
• Phishing en el portal cautivo. La página de «haz clic aquí para conectarte» a veces pide tu correo electrónico y una contraseña, y un número sorprendente de personas escribe la misma contraseña que usa en su cuenta de correo.
• Tráfico sin cifrar. Algunas aplicaciones, sobre todo las más antiguas, siguen enviando datos sin TLS. Es menos habitual que antes, pero todavía ocurre.
• Vigilancia a nivel de DNS. Incluso con HTTPS, cualquiera que observe la red puede ver qué sitios visitas (el campo SNI de TLS deja a la vista el nombre del servidor). No el contenido, pero sí los destinos.
• Dispositivos antiguos o sin actualizar. Los ataques a nivel de red contra sistemas operativos sin parchear siguen siendo reales.

Esto es lo que conviene hacer, ordenado de mayor a menor impacto:

1. Activa una VPN antes de conectarte a nada importante. Aunque HTTPS proteja el contenido de tu tráfico, una VPN oculta qué sitios visitas a cualquiera que observe la red, incluido el operador de la red. También neutraliza los ataques de gemelo malvado, porque tu tráfico viaja cifrado hasta un servidor en el que confías y no hasta cualquier punto de acceso que esté emitiendo cerca.

2. Olvida la red cuando termines. Los teléfonos y los portátiles se reconectan automáticamente a las redes «conocidas». Si te conectaste una vez al Wi-Fi dudoso de una cafetería, tu teléfono volverá a conectarse en silencio cada vez que detecte ese mismo nombre. Entra en los ajustes de Wi-Fi, toca la red y elige «Olvidar».

3. Desactiva por completo la conexión automática al Wi-Fi en los dispositivos con los que viajas. Los teléfonos modernos ofrecen un ajuste del tipo «Preguntar antes de conectarse a redes». Actívalo. La molestia de un segundo que supone confirmar una red compensa con creces el riesgo de unirte sin darte cuenta a una hostil.

4. Desconfía de los portales cautivos que hagan cosas raras. Un portal cautivo auténtico pide una dirección de correo (a veces), que aceptes las condiciones o nada en absoluto. Si te pide una contraseña, sobre todo sin explicar para qué es, cierra la página y usa los datos móviles.

5. Haz una prueba de fugas antes de hacer nada delicado. Una prueba de fugas de IP gratuita confirma que tu VPN está ocultando de verdad tu dirección real y que nada se escapa del túnel a través de WebRTC.

Las aplicaciones bancarias suelen funcionar sin problema en redes Wi-Fi públicas porque aplican fijación de certificados (certificate pinning) y se niegan a conectarse a través de un punto de acceso falso. Los gestores de contraseñas también son seguros en general, porque cifran los datos localmente antes de que salgan de tu dispositivo.

Los eslabones más débiles siguen siendo los de siempre: las contraseñas reutilizadas, las páginas de phishing que parecen auténticas y los dispositivos que llevan meses sin actualizarse. Una VPN no arregla nada de eso: solo elimina la red como una de las superficies de ataque.

¿Es seguro el Wi-Fi de un hotel?

El Wi-Fi de los hoteles está entre las peores redes a las que te conectas habitualmente. Los portales cautivos son fáciles de suplantar, las redes se comparten con cientos de desconocidos y el firmware de muchos routers de hotel lleva años sin actualizarse. Usa siempre una VPN y, para cualquier gestión financiera, mejor el punto de acceso móvil de tu teléfono.

¿Pueden robarme la contraseña en un Wi-Fi público?

Si el sitio en el que inicias sesión usa HTTPS, y casi todos los sitios auténticos lo hacen, la contraseña viaja cifrada. Los riesgos son: una página de phishing servida por un punto de acceso falso, malware en tu dispositivo o que escribas la contraseña en un portal cautivo dudoso que se hace pasar por la página de autenticación de la red.

¿Una VPN hace que el Wi-Fi público sea 100 % seguro?

No. Una VPN protege frente a las escuchas a nivel de red y frente a la mayoría de los ataques de gemelo malvado. No protege frente al malware en tu dispositivo, los correos de phishing o que te convenzan de escribir una contraseña en la página equivocada. Considérala una capa sólida dentro de una estrategia de defensa en profundidad.