Abres tu portátil en la habitación de un hotel o en un salón de conferencias, haces clic en el icono de Wi-Fi y aparece una ventana del navegador pidiéndote que inicies sesión o aceptes los términos antes de conectarte. La mayoría de las veces esto es completamente normal: se llama portal cautivo, y hoteles, aeropuertos y centros de conferencias los usan para controlar el acceso a su red. Pero esa misma página de inicio de sesión también es un disfraz casi perfecto para un atacante, porque esperas ver una, tienes prisa y no tienes forma de verificar de manera independiente quién construyó realmente la página que estás viendo.

Investigadores de Microsoft revelaron recientemente una campaña, rastreada como "CaptiveCrunch", en la que atacantes se posicionaron dentro de redes Wi-Fi de hoteles y conferencias y manipularon el tráfico que veían los viajeros en ese momento exacto: redirigían las sesiones de los portales cautivos a páginas de inicio de sesión falsas (incluidas pantallas de inicio de sesión de Microsoft falsas y convincentes) diseñadas para capturar contraseñas, códigos de dispositivo y tokens de OAuth, o para mostrar falsos cuadros de diálogo de "actualización requerida" que instalan malware de acceso remoto capaz de leer las pulsaciones del teclado y activar una cámara web o un micrófono. No se trata de que cada inicio de sesión de Wi-Fi de hotel sea una trampa; la inmensa mayoría no lo son. Se trata de que este momento en concreto, cuando se espera que escribas algo en una página desconocida antes incluso de estar conectado, es un blanco fácil, y vale la pena tener una rutina para afrontarlo.

Por qué este momento es distinto del phishing habitual

La formación habitual contra el phishing te dice que compruebes el remitente, pases el cursor sobre los enlaces, busques el candado. Los portales cautivos rompen la mayoría de esos hábitos. Tú no navegaste hasta la página: tu dispositivo fue redirigido allí automáticamente. No hay una dirección "De:" que comprobar. La página a menudo se carga sin que se vea una barra de direcciones normal (algunos sistemas operativos la abren en una ventana de navegador simplificada), y puede que estés en una red que no controlas ni puedes verificar, así que incluso un candado HTTPS de aspecto correcto solo te dice que la conexión con esa página está cifrada, no que la página en sí sea legítima ni que la red no esté manipulando lo que ves.

Qué debería —y qué no debería— pedirte un portal cautivo legítimo

Usa esto como filtro base cada vez que aparezca una de estas páginas:

  • Normal: tu apellido y número de habitación, una acreditación o código de registro de conferencia, aceptar los términos de servicio, una dirección de correo electrónico para un recibo, o un código de un solo uso enviado por SMS para verificar que eres un huésped de pago.
  • No es normal: que te pidan iniciar sesión con tu cuenta de identidad de Microsoft, Google, Apple o corporativa. Un sistema Wi-Fi de un establecimiento real no tiene ninguna razón legítima para necesitar tu contraseña de Microsoft para darte acceso a internet.
  • No es normal: que te pidan introducir un "código de dispositivo" que se te muestra en otro lugar, o una página que diga algo como "ve a microsoft.com/devicelogin e introduce este código". Se trata de una función real de Microsoft (usada para iniciar sesión en dispositivos como televisores inteligentes) que los atacantes explotan precisamente porque les permite secuestrar tu cuenta sin necesidad de ver tu contraseña. Si una página de inicio de sesión de Wi-Fi te está guiando por un flujo de código de dispositivo, detente: cierra el navegador y no continúes.
  • No es normal: cualquier ventana emergente que te diga que tu navegador o Windows necesita una actualización urgente, especialmente una que te pida copiar un comando y pegarlo en un cuadro "Ejecutar" o en una terminal para "solucionar" la conexión. Este patrón (a veces llamado ClickFix) es una forma habitual de engañar a la gente para que instale malware ella misma, y ningún portal Wi-Fi legítimo necesita nunca que ejecutes un comando.

Paso a paso: cómo conectarte de forma segura

  1. Antes de viajar, desactiva la conexión automática a redes abiertas. En tu teléfono: Ajustes → Wi-Fi → desactiva "Unirse automáticamente" o "Conexión automática" para redes abiertas/no seguras (la redacción exacta varía según el dispositivo). Esto evita que tu dispositivo se reconecte en silencio más adelante a una red maliciosa con un nombre parecido sin que te des cuenta.
  2. Olvida las redes públicas antiguas que ya no uses. Si tu portátil o teléfono tiene guardada "Airport_Free_WiFi" o la red de un hotel antiguo, elimínala. Los atacantes pueden difundir una red con el mismo nombre (un "gemelo malvado") y tu dispositivo puede conectarse a ella automáticamente porque reconoce el nombre.
  3. Cuando te conectes a la red real, márcala como pública/no confiable. Tanto Windows como macOS preguntan si una red nueva es "pública" o "privada"/"de confianza": elige pública. Esto desactiva el uso compartido de archivos y el descubrimiento de red, limitando qué más puede ver o alcanzar tu dispositivo en esa red.
  4. Lee la página del portal antes de escribir nada. Contrástala con la lista de "normal frente a no normal" de arriba. Si te pide iniciar sesión con un proveedor de identidad, un código de dispositivo, o quiere que ejecutes un comando, cierra la pestaña y, en su lugar, pide en recepción o en la mesa de registro el nombre y la contraseña correctos de la red; no confíes en que una página te diga cómo se llama la red.
  5. Introduce solo el mínimo que pida el portal: normalmente un número de habitación, un apellido o un código que te hayan entregado en persona. Nunca introduzcas la contraseña de tu correo electrónico ni una cuenta que uses en otro sitio.
  6. En cuanto hayas pasado el portal, activa una VPN antes de hacer cualquier otra cosa. Este es el paso más eficaz con diferencia, porque significa que aunque la propia red sea hostil, todo lo que hagas a partir de ese momento va cifrado en un túnel que el operador de la red (o un atacante dentro de ella) no puede leer ni redirigir. Haz esto antes de revisar el correo, iniciar sesión en cualquier cosa o abrir aplicaciones bancarias.
  7. Si no tienes VPN, deja los inicios de sesión sensibles para más tarde o usa los datos móviles de tu teléfono. Convertir tu teléfono en un punto de acceso personal y conectar a él tu portátil, aunque sea brevemente, evita por completo la red del establecimiento para cualquier cosa sensible: banca, correo del trabajo, desbloqueo del gestor de contraseñas.
  8. Cuando te marches, olvida la red (tanto en el teléfono como en el portátil) en lugar de dejarla indefinidamente en tu lista de redes guardadas.

Si crees que ya has caído en esto

Si introdujiste la contraseña de tu cuenta de Microsoft, Google u otra en una página de inicio de sesión de Wi-Fi, o completaste un aviso de código de dispositivo que tú no iniciaste, trata la cuenta como comprometida: cambia esa contraseña de inmediato desde una red o dispositivo de confianza, revisa la actividad de inicio de sesión reciente y los dispositivos/sesiones conectados de la cuenta y cierra la sesión de todo lo que no reconozcas, y revisa las aplicaciones conectadas o "aplicaciones con acceso a tu cuenta" en busca de algo que no autorizaste; el phishing de código de dispositivo en concreto le concede a un atacante un token sin necesidad de ver nunca tu contraseña, así que un simple cambio de contraseña puede no eliminar su acceso. Si hiciste clic en un "actualizar ahora" o ejecutaste un comando desde una ventana emergente, desconecta ese dispositivo de internet y trátalo como potencialmente infectado hasta que haya sido analizado o reinstalado, ya que las cargas útiles descritas en este tipo de campaña han incluido herramientas capaces de registrar las pulsaciones del teclado y activar tu cámara web o micrófono.

La conclusión

Un portal cautivo no es sospechoso por naturaleza; es una parte normal y aburrida de viajar. Lo que cambia el riesgo es lo que te pide que hagas. Una página que quiere tu número de habitación está haciendo su trabajo. Una página que quiere tu contraseña de Microsoft, un código de dispositivo o un comando pegado en una terminal ya no es una pantalla de inicio de sesión de Wi-Fi: es una página de phishing disfrazada de una. Conocer la diferencia, y recurrir a una VPN o al punto de acceso de tu teléfono para cualquier cosa sensible, cierra exactamente el momento del que depende este tipo de ataque.