Abres tu laptop en la habitación de un hotel o en un centro de conferencias, haces clic en el ícono de Wi-Fi, y aparece una ventana del navegador pidiéndote que inicies sesión o aceptes los términos antes de poder conectarte. La mayoría de las veces esto es completamente normal — se llama portal cautivo, y hoteles, aeropuertos y centros de conferencias los usan para controlar el acceso a su red. Pero esa misma página de inicio de sesión también es un disfraz casi perfecto para un atacante, porque esperas ver una, tienes prisa, y no tienes forma de verificar de manera independiente quién realmente creó la página que estás viendo.

Investigadores de Microsoft revelaron recientemente una campaña, identificada como "CaptiveCrunch", en la que los atacantes se posicionaron dentro de redes Wi-Fi de hoteles y conferencias y manipularon el tráfico que veían los viajeros en ese momento exacto — redirigiendo las sesiones de portales cautivos a páginas de inicio de sesión falsas (incluyendo pantallas de inicio de sesión de Microsoft falsas y convincentes) diseñadas para robar contraseñas, códigos de dispositivo y tokens de OAuth, o para mostrar falsos cuadros de diálogo de "actualización requerida" que instalan malware de acceso remoto capaz de leer las pulsaciones del teclado y activar una cámara web o micrófono. La cuestión no es que cada inicio de sesión de Wi-Fi de hotel sea una trampa — la gran mayoría no lo son. La cuestión es que este momento específico, cuando se espera que escribas algo en una página desconocida antes incluso de estar conectado, es un blanco fácil, y vale la pena tener una rutina para manejarlo.

Por qué este momento es diferente del phishing normal

El entrenamiento común contra el phishing te dice que revises al remitente, pases el cursor sobre los enlaces, busques un candado. Los portales cautivos rompen la mayoría de esos hábitos. No navegaste tú mismo hasta la página — tu dispositivo fue redirigido allí automáticamente. No hay una dirección de "De:" que revisar. La página a menudo carga sin una barra de direcciones normal visible (algunos sistemas operativos la abren en una ventana de navegador simplificada), y es posible que estés en una red que no controlas ni puedes verificar, así que incluso un candado HTTPS que se vea correcto solo te indica que la conexión a esa página está cifrada — no que la página en sí sea legítima ni que la red no esté manipulando lo que ves.

Qué debería — y qué no debería — pedirte un portal cautivo legítimo

Usa esto como tu filtro básico cada vez que aparezca una de estas páginas:

  • Normal: tu apellido y número de habitación, una credencial o código de registro de conferencia, aceptar los términos de servicio, una dirección de correo electrónico para un recibo, o un código de un solo uso enviado por mensaje de texto para verificar que eres un huésped que paga.
  • No es normal: una solicitud para iniciar sesión con tu cuenta de identidad de Microsoft, Google, Apple o corporativa. Un sistema de Wi-Fi de un recinto real no tiene ninguna razón legítima para necesitar tu contraseña de Microsoft para darte acceso a internet.
  • No es normal: una indicación para ingresar un "código de dispositivo" que se te muestra en otro lugar, o una página que dice algo como "ve a microsoft.com/devicelogin e ingresa este código". Esta es una función real de Microsoft (usada para iniciar sesión en dispositivos como televisores inteligentes) que los atacantes explotan específicamente porque les permite secuestrar tu cuenta sin necesidad de ver nunca tu contraseña. Si una página de inicio de sesión de Wi-Fi te está guiando a través de un flujo de código de dispositivo, detente — cierra el navegador y no continúes.
  • No es normal: cualquier ventana emergente que te diga que tu navegador o Windows necesita una actualización urgente, especialmente una que te pida copiar un comando y pegarlo en un cuadro de "Ejecutar" o en una terminal para "arreglar" la conexión. Este patrón (a veces llamado ClickFix) es una forma común de engañar a las personas para que ellas mismas instalen malware, y ningún portal de Wi-Fi legítimo necesita nunca que ejecutes un comando.

Paso a paso: cómo conectarte de forma segura

  1. Antes de viajar, desactiva la unión automática a redes abiertas. En tu teléfono: Configuración → Wi-Fi → desactiva "Unión automática" o "Conexión automática" para redes abiertas/no seguras (la redacción exacta varía según el dispositivo). Esto evita que tu dispositivo se vuelva a conectar en silencio más adelante a una red maliciosa con un nombre similar sin que te des cuenta.
  2. Olvida las redes públicas antiguas que ya no usas. Si tu laptop o teléfono tiene guardada "Airport_Free_WiFi" o una red de un hotel antiguo, elimínala. Los atacantes pueden transmitir una red con el mismo nombre (un "gemelo malvado") y tu dispositivo podría conectarse a ella automáticamente porque reconoce el nombre.
  3. Cuando te conectes a la red real, márcala como pública/no confiable. Tanto Windows como macOS preguntan si una red nueva es una red "pública" o "privada"/"de confianza" — elige pública. Esto desactiva el uso compartido de archivos y la detección de red, limitando lo que otros dispositivos en esa red pueden ver o alcanzar en el tuyo.
  4. Lee la página del portal antes de escribir nada. Compárala con la lista de "normal versus no normal" de arriba. Si te pide iniciar sesión con un proveedor de identidad, un código de dispositivo, o quiere que ejecutes un comando, cierra la pestaña, y en su lugar pregunta en la recepción o en la mesa de registro el nombre y la contraseña correctos de la red — no confíes en que una página te diga cómo se llama la red.
  5. Ingresa solo lo mínimo que el portal necesite — generalmente un número de habitación, un apellido, o un código que te entregaron en persona. Nunca ingreses la contraseña de tu correo electrónico ni una cuenta que uses en otro lugar.
  6. Una vez que hayas pasado el portal, activa una VPN antes de hacer cualquier otra cosa. Este es, por sí solo, el paso más efectivo, porque significa que incluso si la red en sí es hostil, todo lo que suceda después de este punto está cifrado dentro de un túnel que el operador de la red (o un atacante dentro de ella) no puede leer ni redirigir. Haz esto antes de revisar el correo electrónico, iniciar sesión en cualquier cosa, o abrir aplicaciones bancarias.
  7. Si no tienes una VPN, guarda los inicios de sesión sensibles para después o usa los datos móviles de tu teléfono. Convertir tu teléfono en un punto de acceso personal y conectar tu laptop a él, aunque sea brevemente, evita por completo la red del recinto para cualquier cosa sensible — banca, correo del trabajo, desbloqueos del gestor de contraseñas.
  8. Cuando te vayas, olvida la red (tanto en el teléfono como en la laptop) en lugar de dejarla indefinidamente en tu lista de redes guardadas.

Si crees que ya caíste en una de estas

Si ingresaste la contraseña de una cuenta de Microsoft, Google u otra en una página de inicio de sesión de Wi-Fi, o completaste una solicitud de código de dispositivo que tú no iniciaste, trata la cuenta como comprometida: cambia esa contraseña de inmediato desde una red o dispositivo de confianza, revisa la actividad reciente de inicio de sesión de la cuenta y los dispositivos/sesiones conectados y cierra la sesión de cualquiera que no reconozcas, y revisa las aplicaciones conectadas o "aplicaciones con acceso a tu cuenta" en busca de algo que no hayas autorizado — el phishing de código de dispositivo específicamente le otorga a un atacante un token sin necesitar nunca tu contraseña, así que un simple cambio de contraseña podría no eliminar su acceso. Si hiciste clic en un "actualizar ahora" o ejecutaste un comando desde una ventana emergente, desconecta ese dispositivo de internet y trátalo como potencialmente infectado hasta que haya sido escaneado o reinstalado, ya que las cargas útiles descritas en este tipo de campaña han incluido herramientas capaces de registrar las pulsaciones del teclado y activar tu cámara web o micrófono.

La conclusión

Un portal cautivo no es sospechoso por naturaleza — es una parte normal y aburrida de viajar. Lo que cambia el riesgo es lo que te pide que hagas. Una página que quiere tu número de habitación está cumpliendo su función. Una página que quiere tu contraseña de Microsoft, un código de dispositivo, o un comando pegado en una terminal ya no es una pantalla de inicio de sesión de Wi-Fi — es una página de phishing disfrazada de una. Conocer la diferencia, y recurrir a una VPN o al punto de acceso de tu teléfono para cualquier cosa sensible, cierra la puerta exacta de la que depende este tipo de ataque.