Trampas del Wi-Fi gemelo malvado en viajes: hotspots falsos, portales cautivos y una condena australiana
Cada aeropuerto, hotel y cabina de avión tiene hoy su red gratuita de siempre, y la mayoría de los viajeros se conecta sin pensarlo dos veces. Un punto de acceso evil twin explota esa costumbre: es un hotspot falso que toma prestado el nombre de una red legítima. Los dispositivos que se conectaron antes a la red real pueden enlazarse automáticamente con la falsa, y los recién llegados no distinguen la diferencia, porque el nombre de una red Wi-Fi no acredita ninguna identidad.
De la acusación a la condena
La ilustración más clara y reciente llega de Australia. En abril de 2024, una aerolínea informó a la Policía Federal Australiana (AFP) de una red sospechosa que imitaba su Wi-Fi legítimo durante un vuelo nacional. El 19 de abril de 2024, los investigadores registraron el equipaje de mano de un pasajero en el aeropuerto de Perth y decomisaron un punto de acceso inalámbrico portátil, un portátil y un teléfono móvil. El 28 de junio de 2024, la AFP acusó al hombre, de 42 años y residente en Australia Occidental, de nueve delitos: presuntamente había montado redes falsas en los aeropuertos de Perth, Melbourne y Adelaida, en vuelos nacionales y en otros lugares, que mostraban una página pidiendo a los viajeros iniciar sesión con una cuenta de correo o de redes sociales; las credenciales introducidas quedaban guardadas en sus dispositivos (AFP)."Para conectarte a un Wi-Fi gratuito no deberías tener que introducir datos personales, como iniciar sesión con una cuenta de correo o de redes sociales", dijo la inspectora detective de la AFP Andrea Coleman cuando se anunciaron los cargos.El caso no terminó en el escrito de acusación. En noviembre de 2025, la AFP informó de que el hombre, para entonces de 44 años, se declaró culpable de 15 cargos ante el tribunal de distrito de Perth y fue condenado a siete años y cuatro meses de prisión, con posibilidad de libertad condicional a los cinco años. El análisis forense de sus dispositivos reveló credenciales de otras personas junto a miles de imágenes y vídeos íntimos sustraídos de cuentas de mujeres. Según la AFP, el aparato era una herramienta portátil de test de intrusión comercializada como "Wi-Fi Pineapple", que escucha a los dispositivos que buscan redes de confianza y clona automáticamente una de ellas; y las falsas páginas de inicio de sesión nunca llegaron a dar acceso a internet. Su única función era recolectar (AFP).
Por qué funciona el truco
La mecánica es sencilla. Un hotspot falso que emite con más potencia que la red legítima puede expulsarla de la lista que muestra el teléfono; el análisis de Kaspersky del caso a bordo señala que las víctimas solo vieron la red falsa porque su señal era más fuerte (kaspersky.com). Los portales cautivos hacen el resto: la página que el viajero espera ver -número de habitación, dirección de correo, acceso social- es justo la que un atacante puede falsificar. Hay escenarios que concentran el riesgo. Las aerolíneas transmiten cada vez más el entretenimiento a los dispositivos de los propios pasajeros, de modo que conectarse a la red del avión parece rutina, y en vuelo no existe alternativa móvil. El autor de Kaspersky describía las probabilidades de éxito de ese esquema como "altísimas": entregar las credenciales o pasar el vuelo sin entretenimiento.Lo que cambia HTTPS, y lo que no
El panorama es menos sombrío que hace una década. Como señala la FTC de Estados Unidos, hoy la mayoría de los sitios web usa cifrado, y eso explica en buena parte que considere las redes Wi-Fi públicas generalmente más seguras que antes (consumer.ftc.gov). El cifrado de transporte hace el trabajo pesado: un evil twin puede retransmitir tu tráfico, pero una conexión correctamente cifrada con el sitio real sigue siendo ilegible para quien la retransmite. Las salvedades importan tanto como la regla. El cifrado protege la conexión, no la decisión previa: una contraseña tecleada en un portal falso se entrega voluntariamente, antes de cualquier negociación con el servicio real. La FTC también advierte que el candado no dice nada sobre quién opera un sitio, porque los estafadores también obtienen certificados para páginas falsas. Y aun con todo cifrado, el punto de acceso falso sigue viendo metadatos: qué dominios resuelves y a qué servidores te conectas. Conviene notar que ni la investigación australiana ni los análisis publicados de campañas así se apoyan en romper el cifrado. No lo necesitan.Una postura práctica
Nada de esto exige paranoia, solo una lista corta aplicada con constancia:- Tratar como hostil cualquier portal que pida iniciar sesión con correo, redes sociales o datos de pago; el Wi-Fi gratuito legítimo no lo necesita, como subrayó el consejo de la AFP tras el caso.
- Confirmar el nombre exacto de la red con el personal en tierra y con las instrucciones del asiento en el aire, en lugar de fiarse de la señal más fuerte.
- Preferir el anclaje del propio teléfono a los hotspots compartidos cuando la tarifa lo permita.
- Desactivar la conexión automática, hacer que los dispositivos olviden las redes tras usarlas y apagar el Wi-Fi cuando no haga falta.
- Llevar tu propio cifrado: activa una VPN en cuanto la conexión esté lista y mantén tu postura habitual de Tor para lo sensible; si la VPN no conecta, ni correo ni banca en esa red.
- Nunca instalar aplicaciones, plugins o certificados que ofrezca un portal, y desconectar si los piden.