Versión corta
¿No tiene tiempo para leer el artículo completo? Aquí tiene lo más destacado:
- Las redes Wi-Fi suelen ser entornos de navegación vulnerables e inseguros;
- Utilizar las redes inalámbricas públicas sin protección le pone al alcance de los ciberdelincuentes, pone en peligro la seguridad de su dispositivo y expone sus datos sensibles;
- Ese comportamiento puede provocar graves daños en su vida personal, como el robo de credenciales bancarias en línea y de números de tarjetas de crédito, y el robo de identidad;
- Puedes protegerte actuando en tres frentes diferentes: utilizando software de seguridad, tomando precauciones defensivas y cambiando los malos hábitos;
- La medida más sólida y eficaz que puede tomar para acceder a las redes Wi-Fi públicas de forma segura es utilizar un servicio VPN fiable.
¿Por qué es peligroso el Wi-Fi público?
Aunque las redes Wi-Fi son una forma cómoda de navegar por la red, pueden poner en riesgo su seguridad y privacidad.
El principal problema del Wi-Fi público es que la mayoría de las redes no son tan seguras como cabría esperar. Y hay algunas razones fundamentales para ello.
En primer lugar, muchas redes inalámbricas públicas funcionan con equipos y software obsoletos.
El segundo problema está relacionado con la propia seguridad de la red. Tal vez por limitaciones técnicas o debido a una mala configuración, algunas redes utilizan medidas de seguridad por debajo de la media.
Por último, y aún más peligroso, es el riesgo de unirse a una red maliciosa, por casualidad, y ser hackeado.
Más adelante en este artículo entraremos en más detalles sobre estos tres temas. Pero, por ahora, es fundamental que te hagas una breve idea de las debilidades inherentes a la Wi-Fi pública.
Vulnerabilidades del Wi-Fi: ¿cómo de seguro es el Wi-Fi público?
La mayoría de las redes Wi-Fi públicas ofrecen una seguridad de red débil y un cifrado de datos obsoleto. En otras palabras, pueden ser realmente peligrosas.
Los routers inalámbricos antiguos difícilmente soportarán los estándares de seguridad más avanzados, ya que no existían cuando se fabricaron esos routers. Por otro lado, la falta de actualizaciones periódicas del firmware (software nativo del dispositivo) hace que las vulnerabilidades de seguridad conocidas tengan un largo ciclo de vida.
Así, muchas redes Wi-Fi públicas siguen utilizando el protocolo de cifrado inalámbrico (WEP), un estándar de seguridad obsoleto (y fácilmente hackeable). Además, incluso el acceso protegido por Wi-Fi (WPA), dominante y más avanzado, tiene sus propias vulnerabilidades reportadas y bien documentadas [1].
Aunque el nuevo WPA3 ha corregido algunos de los defectos de su versión anterior, se supone que el WPA2 sigue funcionando en la mayoría de las redes. Los datos disponibles muestran una estimación de menos del 0,01% por ciento de ellas que utilizan actualmente el cifrado WPA3, según la muestra de la base de datos Wigle con más de 750 millones de redes Wi-Fi únicas [2].
Como los fabricantes con certificación Wi-Fi solo están obligados a soportar el WPA3 desde julio de 2020, probablemente tardará muchos años en generalizarse y sustituir a los más antiguos.
Más preocupante aún es que en WPA3 ya se habían encontrado algunos fallos de diseño. Los piratas informáticos llevan tiempo explotando esos fallos, con ataques de degradación y de canal lateral, como ha demostrado un estudio reciente [3].
¿Cuáles son los riesgos de seguridad y los peligros del uso de la Wi-Fi pública?
Aunque puedan tener una idea, la gente no suele conocer los riesgos reales que corre en las redes públicas no seguras. Cuando te encuentras a merced de un ciberdelincuente, no sólo tu presencia digital está en peligro. Esta desgracia puede poner en peligro toda tu vida.
Un estafador digital puede ponerle en serios problemas. Los delincuentes pueden recopilar información personal sensible como direcciones, nombres, identificaciones, números de la seguridad social, credenciales de acceso y contraseñas importantes. Sólo depende de lo descuidado que hayas sido.
En este punto, es fácil imaginar los resultados potencialmente devastadores. En posesión de esos datos, pueden "piratear" su sesión y hacerse pasar por usted, tomando el control total de sus perfiles sociales y cuentas de servicios. Más adelante, pueden entrar en tu cuenta bancaria online, robando tu dinero y otros activos económicos.
En casos extremos, las consecuencias pueden ser tan perjudiciales como el robo de identidad, el fraude financiero y la imputación de delitos.
A estas alturas, es posible que estés preocupado y sorprendido al mismo tiempo. Y de repente, una pregunta puede aparecer en tu cabeza: ¿cómo es posible?
¿Qué métodos maliciosos utilizan los hackers de las Wi-Fi públicas?
Si se combinan usuarios de Internet totalmente negligentes con un entorno de red inseguro, se obtiene un terreno de juego perfecto para los hackers. Desgraciadamente, eso es lo que hace que lugares como los cibercafés, los centros comerciales, las bibliotecas y los aeropuertos sean terrenos prolíficos para los exploits y los ciberataques.
Hay muchas técnicas maliciosas que los ciberdelincuentes aplican para engañar a los usuarios de Wi-Fi. Estas son las más comunes y peligrosas:
Ataque Man-in-the-middle
Un ataque man-in-the-middle (MITM) es una estafa en la que un hacker utiliza un artilugio malicioso para interceptar los datos de tráfico en redes vulnerables. Este artilugio actúa como un hotspot intermediario o un intermediario entre el dispositivo de la víctima y el servidor del sitio web visitado.
Podría parecer que se trata de una técnica sofisticada, pero, por desgracia, es sencilla y accesible.
Todo lo que necesitan es una red inalámbrica no segura (en la que tú podrías estar metido) y un artilugio de "piña Wi-Fi". En realidad, cualquier adolescente con unos conocimientos mínimos de informática puede conseguir uno en las grandes tiendas online por menos de 100 dólares y convertirse en un atacante [4].
Ataque de gemelos malvados
Los hackers se aprovechan de la falta de conocimientos de ciberseguridad de las personas para engañarlas con una estafa conocida como el ataque de los gemelos del mal.
En pocas palabras, utilizan tácticas engañosas para hacer que los usuarios se conecten a redes Wi-Fi falsas creadas artificialmente por los atacantes en lugar de a empresas locales legítimas. Por desgracia, es fácil encontrar herramientas gratuitas de código abierto adecuadas para esta tarea.
Cuando te conectas a la red falsa, el hacker puede espiar tu actividad y el tráfico que se envía de un lado a otro. El atacante puede entonces capturar datos sensibles [5] y lo utilizan de muchas maneras nefastas, como la suplantación de identidad, el robo de identidad y el fraude financiero.
Inyección de malware
Los piratas informáticos pueden inyectar códigos maliciosos (malware) en el sistema de su dispositivo a través de puntos de acceso jurados. Me refiero a todo tipo de amenazas codificadas, como virus informáticos, troyanos, spyware, gusanos y ransomware. Una vez infectado, la red propagará el virus.
Las posibles consecuencias van desde el robo de datos hasta que los atacantes tomen el control total de tu portátil o smartphone.
Después de obtener el acceso, un ciberdelincuente puede corromper su sistema, lo que provoca pérdidas financieras y de datos, o permanecer en silencio, buscando a escondidas la forma de beneficiarse del hackeo.
Escaneo de paquetes de red
Otra práctica peligrosa, pero común, con un nombre extraño, es el esnifado de paquetes. La parte de sniffing aquí se refiere a los paquetes de datos, piezas de información enviadas dentro del tráfico web. Pueden llevar cualquier información, incluyendo datos sensibles y contraseñas.
Cuando no están encriptados, los paquetes pueden ser fácilmente recogidos y leídos por cualquier persona que utilice un software gratuito conocido como analizador de protocolos de red.
Aunque esas herramientas se crearon inicialmente para ayudar en las pruebas de seguridad de la red, ya sabes, a veces la medicina y el veneno tienen la misma fórmula.
¿Cómo utilizar el Wi-Fi público de forma segura?
Cuando se trata de prevenir este tipo de estafas o ataques, normalmente se pueden tomar tres caminos distintos. Pero, como la mayoría de las cosas en ciberseguridad, es mejor que pases por cada uno de ellos, ya que se complementan entre sí.
Para empezar a utilizarla, hay que eliminar los malos hábitos y tomar las debidas precauciones de antemano. Pero ten en cuenta que esos son sólo pasos adicionales para mejorar tu seguridad en la Wi-Fi pública. La medida más importante que puedes tomar para protegerte es utilizar herramientas de seguridad avanzadas.
En cuanto a mis recomendaciones, intentaré ordenar las medidas de seguridad desde las más influyentes hasta las que tienen un impacto complementario. Por esa razón, vamos a hablar primero del software.
Herramientas de ciberseguridad
Utilice una VPN
De entrada, deberías instalar un cliente VPN en todos tus dispositivos inalámbricos. Es la forma más eficaz de asegurar tus conexiones en redes públicas y requiere poco esfuerzo de configuración (como registrarse en un proveedor fiable, descargar e instalar la aplicación donde quieras usarla).
Las VPN cifran todo el tráfico enviados por su dispositivo y hacerlos ilegibles para los fisgones maliciosos en línea.
Las VPN le protegen en las redes Wi-Fi públicas
Echa un vistazo a esta selección de VPN para elegir una que se adapte a tus necesidades de ciberseguridad.
Activar el cortafuegos
Asegúrate de activar el cortafuegos integrado de tu dispositivo. A veces puede ser muy desagradable, pero definitivamente ayudaría, incluso si tienes una VPN activada.
Es una buena práctica mantenerlos trabajando juntos, especialmente si tu VPN no viene con una funcionalidad de bloqueo de malware o un firewall propio.
También puedes utilizar un cortafuegos dedicado o un software de protección contra amenazas. Eso te daría más control sobre el cortafuegos y su funcionamiento. Puedes configurarlo para que solo funcione en conexiones Wi-Fi, por ejemplo.
Utilice un antivirus
Debería tener instalado un software antivirus. Lo mejor sería proteger sus dispositivos desde dentro, también, para una defensa más amplia contra los códigos maliciosos.
Ya sean virus informáticos, ransomware o desagradables rootkits, deberías tener una forma de identificar y bloquear cualquier actor extraño que intente llegar a tu dispositivo.
Muchos antivirus también han incorporado soluciones de cortafuegos y VPN. Ninguno de ellos puede ofrecer lo mejor de los tres mundos, pero puedes conseguir grandes ofertas para suites de seguridad completas.
Precauciones defensivas
Elija siempre SSL y HTTPS
Hay algunos casos en los que puedes encontrarte navegando por páginas web HTTP inseguras sin la "S" al final.
Un atacante MITM, por ejemplo, puede servirle una versión HTTP sin cifrar de la URL a la que está intentando acceder. Además, un pequeño porcentaje de sitios web todavía no utilizan certificados SSL o sólo lo hacen disponible en páginas específicas, como los formularios de acceso. En cualquiera de los dos casos, tus datos estarían completamente expuestos y legibles.
Para liberarte, puedes obligar a tus dispositivos a conectarse únicamente a servicios web HTTPS. La forma más fácil de hacerlo es instalar un complemento del navegador llamado HTTPS Everywhere [6]. Es una herramienta desarrollada por la Electronic Frontier Foundation (EFF) y el Proyecto Tor, organizaciones sin ánimo de lucro que defienden los derechos digitales y la privacidad.
Desgraciadamente, esto no está resuelto al cien por cien, ya que los estafadores pueden crear sitios web falsos con certificados de seguridad. Si una víctima accede a este sitio web, los datos estarán cifrados entre el dispositivo y el sitio web, pero seguirán estando disponibles para el hacker malicioso.
Habilitar la autenticación de dos factores siempre que esté disponible
La mayoría de los sitios web que manejan datos sensibles, como cuentas personales y operaciones financieras, ofrecen la autenticación de dos factores. Sin duda, deberías aprovecharla.
Si no estás familiarizado con la expresión, se refiere a las medidas de seguridad que requieren una validación extra del dispositivo además de las credenciales de acceso. Suele significar que recibirás un código aleatorio en tu dispositivo para introducirlo en el sitio web antes de poder acceder a él.
Desactivar la conexión automática
Todos los dispositivos cuentan con un cómodo ajuste para conectarte a la Wi-Fi disponible sin problemas. Pero puede ser peligroso, ya que no tendrás control sobre la elección de redes de tu dispositivo. Así que es mejor que lo mantengas desactivado todo el tiempo.
Sólo tienes que buscarlo en los ajustes de red de tu dispositivo para asegurarte de que no se conectará a redes públicas en piloto automático.
Asegúrese de eliminar las credenciales de la red pública de sus dispositivos
Además, ayudaría si siempre hicieras que tu dispositivo "olvidara" las credenciales de la red pública después de usarlas.
Cuando hayas terminado de navegar, ve a la configuración de tu dispositivo, busca la red Wi-Fi que quieres eliminar y selecciona la opción de Olvidar o Eliminar, según el sistema operativo de tu dispositivo.
Deberías hacerlo cada vez que te desconectes de un punto de acceso público o, al menos, de vez en cuando.
Desactivar el uso compartido
Otra función práctica pero potencialmente arriesgada que ofrece tu dispositivo es la función de compartir. Aunque puede facilitar tu vida diaria, también abre una puerta trasera a tu sistema.
Para controlar mejor tus opciones de seguridad, tienes que reducir al mínimo las tareas del dispositivo en segundo plano. A menos que sean soluciones de seguridad diseñadas para proteger tu dispositivo, apágalas.
Mantenga su software (aplicaciones) actualizado
Esta es, con mucho, la mayor razón por la que los hackers pueden entrar en los dispositivos de las personas. Con el paso del tiempo, los fallos del software quedan expuestos, ya sea por los hackers de seguridad o por los atacantes. Sea cual sea el caso, ofrece una oportunidad a los desarrolladores para corregir su software y lanzar actualizaciones de seguridad.
La ciberseguridad es una actividad continua, y todas las empresas de software actualizan constantemente sus productos, corrigiendo así los fallos y las vulnerabilidades notificadas.
El problema es que siempre hay una ventana de oportunidad para que los hackers malintencionados exploten un fallo de seguridad antes de que sea corregido y actualizado en los dispositivos de los usuarios.
Kaspersky descubrió que el 50% de los usuarios de Internet de todo el mundo suele aplazar las actualizaciones de software [7]. Eso es un error, sobre todo cuando se trata de correcciones de seguridad.
Utiliza los datos de tu teléfono móvil o conviértelo en un hotspot
Si vas a acceder a Internet desde tu smartphone y tienes un paquete de datos disponible, esa es la solución a la que recurrir.
Este consejo es precioso si no te fías del sitio web o la aplicación que vas a utilizar. Normalmente, tu operador de telefonía móvil ya encripta tus datos. Así que, en caso de duda, no guardes los datos, sino tus datos.
Hábitos de seguridad
Evitar la exposición de datos sensibles
Uno de los mejores consejos para estar seguro en las redes Wi-Fi públicas es el siguiente: evitar a toda costa el uso de servicios que impliquen datos sensibles y operaciones financieras.
Por sensible, me refiero a la información personal, las credenciales de las redes sociales y cualquier otra cosa que pueda exponer tu identidad o a ti mismo como individuo. La parte financiera se refiere a las transacciones digitales, la banca en línea y cualquier otra actividad que pueda exponer su riqueza monetaria.
Si tiene que ocuparse de esos asuntos en el Wi-Fi, debe prepararse (y preparar sus dispositivos) previamente.
Una combinación de VPN, firewall y antivirus es imprescindible en ese caso. Pero también deberías seguir las demás recomendaciones de seguridad digital de este artículo, sin duda.
No se deje engañar por los delincuentes
Busque siempre redes y credenciales de acceso legítimas. Al tratar de engañar a los usuarios, los ciberdelincuentes probablemente elegirán un nombre creíble para su red falsa, cercano al original. Comprueba si puedes encontrar información oficial sobre el Wi-Fi local o pregunta al personal por el nombre y la contraseña correctos de la red.
No te olvides de cerrar la sesión después de terminar tus cosas
Conéctate de forma segura, haz lo que tengas que hacer y cierra la sesión cuando hayas terminado. Eso es todo. Una sesión inactiva pero autorizada en un sitio web puede ofrecer a los malos actores la oportunidad de secuestrar su acceso y hacerse pasar por usted. Recuerde: siempre que inicie una sesión, cierre también la sesión.
Mantener el Wi-Fi apagado
Esa es la regla de seguridad. La excepción es encenderlo cuando necesites usarlo. A pesar de ese pequeño inconveniente, principalmente si necesitas consultar tus redes sociales con regularidad, evitará que tu dispositivo esté accesible (y expuesto) cuando no estés navegando.
No ignore las advertencias de su navegador
Un navegador moderno puede adivinar los riesgos de seguridad y bloquear su acceso a sitios web sospechosos y conexiones no seguras.
Así que, cada vez que te aparezca una de esas pantallas de advertencia al intentar acceder a un sitio web, tenlo en cuenta. Por supuesto, también es posible obtener falsos positivos. Pero, a menos que conozcas el sitio web y confíes en él, no te pongas en riesgo.
Finalizar
Si sigues estas recomendaciones y te comportas de forma responsable en la Wi-Fi pública, no deberías tener problemas. Puede parecer mucho para preocuparse a primera vista, pero te acostumbrarás en seguida.
Lo más seguro y sencillo es equipar tus dispositivos inalámbricos con las defensas adecuadas. Activar el cortafuegos, tener un antivirus en funcionamiento y utilizar la VPN en todo momento puede suponer más de la mitad del camino.
El resto consiste en ser consciente y cuidadoso como lo harías en otros aspectos de tu vida.
Referencias y recursos adicionales
- Ars Technica. Grave fallo en el protocolo WPA2 permite a los atacantes interceptar contraseñas y mucho más. Octubre de 2017.
- Motor de registro geográfico inalámbrico (Wigle). Estadísticas de la base de datos sobre el cifrado de las redes Wi-Fi en todo el mundo. Junio de 2021.
- Sangre de dragón: Análisis del Dragonfly Handshake de WPA3 y EAP-pwd. Documento PDF.
- Amazon.com. Hak5 MK5 WiFi Pineapple Mark V Herramienta de pruebas inalámbricas de la plataforma de auditoría.
- Escritos de InfoSec. Cómo hice un punto de acceso falso para recoger las credenciales de acceso. Agosto de 2018.
- HTTPS en todas partes. Ampliación de la seguridad por la EFF y Tor.
- Kaspersky. Encuesta en línea sobre las tendencias de actualización de los dispositivos de la gente realizado por Savanta. Abril de 2021.