Wi-Fi público y antenas gemelas (Evil Twin): qué puede ver realmente quien controla la red y qué protege TLS 1.3

Conectarse al Wi-Fi gratuito de un aeropuerto, un hotel o una cafetería suele rodearse de dos extremos equivocados: hay quienes creen que al conectarse les robarán todas sus cuentas bancarias por arte de magia, y quienes piensan que cualquier red abierta es totalmente inofensiva. Comprender qué viaja cifrado, qué metadatos quedan expuestos y cómo opera una antena gemela maliciosa (Evil Twin) te permite usar redes fuera de casa con criterio técnico real.

1. ¿Qué es un ataque Evil Twin (Gemelo Malvado)?

En el estándar Wi-Fi, el nombre visible de una red (SSID) es simplemente una etiqueta de texto que cualquier dispositivo puede emitir. Un atacante puede encender un punto de acceso portátil (Rogue AP) con el mismo nombre exacto que la red legítima del lugar —por ejemplo, Wi-Fi_Aeropuerto_Gratis— pero sin contraseña y con mayor potencia de señal cerca de ti.

Si tu teléfono o computadora tiene activada la unión automática a redes abiertas conocidas, o si seleccionas manualmente esa señal, todo tu tráfico de internet pasará a través del equipo del atacante.

2. Mito vs. Realidad: ¿Qué protege TLS 1.3 y qué queda visible?

Hace más de una década, muchas páginas web enviaban sesiones y contraseñas en texto plano (HTTP). Hoy en día, la gran mayoría de los servicios bancarios, correos y redes sociales utilizan TLS 1.3 (RFC 8446) combinado con políticas HSTS (RFC 6797):

• Lo que el dueño del Wi-Fi NO puede ver: No puede leer tus contraseñas, tus mensajes privados de WhatsApp o Telegram, ni los movimientos dentro de la aplicación de tu banco, porque ese contenido viaja cifrado de extremo a extremo entre tu dispositivo y el servidor real.
• Lo que el dueño del Wi-Fi SÍ puede ver: Si utilizas el servidor DNS que te entrega la propia red local (UDP/53), el operador ve cada nombre de dominio que consultas, la hora exacta de conexión, las direcciones IP de destino y el encabezado SNI (Server Name Indication) cuando no está cifrado.

3. La verdadera trampa: Portales cautivos falsos y certificados raíz

Como un atacante en un Wi-Fi público no puede romper matemáticamente una conexión TLS 1.3 bien configurada, recurre a dos vectores prácticos:

1. Portales cautivos de phishing: Al conectarte a una red pública es normal que se abra una ventana de bienvenida (Captive Portal, RFC 8952). Un Evil Twin muestra una página clonada que te pide "Iniciar sesión con tu cuenta de Google, correo corporativo o redes sociales" para darte acceso gratuito. Si escribes tu clave ahí, se la entregas directamente al atacante.
2. Descarga de perfiles o certificados raíz: Si una red Wi-Fi te pide instalar un certificado o perfil de configuración para poder navegar, o si tu navegador muestra una advertencia de que la conexión no es privada, desconéctate de inmediato. Instalar una autoridad certificadora (CA) ajena permite interceptar y descifrar tu tráfico HTTPS (Man-in-the-Middle).

4. Tres pasos para proteger tus dispositivos fuera de casa

• Desactiva la conexión automática y olvida redes abiertas: Evita que tu teléfono se conecte en segundo plano a cualquier antena que anuncie un nombre conocido.
• Activa DNS cifrado (DoH / DoT): Configura DNS sobre HTTPS (RFC 8484) o DNS sobre TLS en tu sistema operativo y navegador para que el router local no pueda espiar ni alterar las respuestas de los dominios que buscas.
• Usa datos móviles o un túnel WireGuard propio para operaciones críticas: Además, asegúrate de configurar el firewall de tu computadora en perfil Público para bloquear carpetas compartidas y puertos locales frente a otros equipos conectados a la misma antena.

Seguridad de redes e infraestructura en ViciousByte

En ViciousByte apoyamos a empresas y equipos distribuidos con auditorías de seguridad inalámbrica, detección de puntos de acceso no autorizados y arquitecturas de acceso remoto seguro basadas en Zero Trust.

Knowledge is free. Comparte esta guía con quien viaja o trabaja desde cafeterías, hoteles y aeropuertos.