Conectarte al wifi público de una cafetería, un aeropuerto o una biblioteca parece un gesto inocente, pero en ese momento estás compartiendo mucho más que tu contraseña. La wifi público seguridad datos es un tema que casi nadie tiene en cuenta cuando acepta las condiciones de uso sin leerlas y pulsa “conectar”. Lo que ocurre después, técnicamente y legalmente, merece más atención de la que recibe.
Cada vez que te unes a una red abierta, tu dispositivo emite información antes incluso de que cargue la primera página. El nombre de tu teléfono o portátil, la dirección MAC (un identificador único de tu tarjeta de red), el sistema operativo y a veces el historial de redes a las que te has conectado antes quedan expuestos a cualquiera que esté escuchando en esa misma red. Y en una red pública, puede haber mucha gente escuchando.
Esto no es teoría conspirativa. Es el funcionamiento básico del protocolo TCP/IP y de cómo los sistemas operativos gestionan las conexiones inalámbricas. El problema lleva décadas documentado, pero la mayoría de usuarios lo desconoce porque nadie tiene incentivos claros para explicarlo.
¿Qué información recoge el establecimiento antes de que llegues a Google?
El portal cautivo, esa pantalla donde introduces tu correo o aceptas los términos, es la primera recogida de datos formal. Antes de que navegues a ningún sitio, el operador de la red ya sabe a qué hora te conectaste, cuánto tiempo estuviste, qué dispositivo usas y, si te pedía registro, tu dirección de correo electrónico. Con eso solo ya puede construir un perfil básico de tu comportamiento como cliente.
Algunas cadenas de cafeterías van más lejos. Empresas como Boingo Wireless o los sistemas de wifi gestionado que usan franquicias de restauración llevan años cruzando los datos de conexión con sistemas de fidelización y analítica de visitas. Saben cuántas veces vuelves, a qué horas y cuánto tiempo te quedas, aunque no hayas comprado nada. Esa información tiene valor comercial directo.
El Reglamento General de Protección de Datos europeo obliga a informar de qué se recoge y con qué fin, pero la práctica real es que esa información se entierra en textos legales que nadie lee. Y fuera de Europa, en muchos países ni siquiera existe esa obligación formal.
¿Puede alguien interceptar lo que haces en el wifi público?
Sí, pero con matices importantes según qué tipo de tráfico generes. El tráfico cifrado con HTTPS es mucho más difícil de leer en tránsito: un atacante podría ver que te conectaste a tal dominio, pero no el contenido exacto de lo que enviaste o recibiste. El problema es que no todo el tráfico va por HTTPS, y que incluso el cifrado no protege los metadatos.
El ataque más documentado en redes abiertas se llama “man in the middle”: alguien en la misma red se interpone entre tu dispositivo y el router, capturando o modificando el tráfico. Herramientas como Wireshark permiten hacerlo con conocimientos modestos. Los hackers que trabajan en auditorías de seguridad lo hacen habitualmente para demostrar vulnerabilidades en redes corporativas.
Hay otro vector menos conocido: los puntos de acceso falsos, llamados “evil twin”. Alguien crea una red wifi con el mismo nombre que la legítima del establecimiento, y tu teléfono, si ya se conectó antes a esa red, puede unirse automáticamente sin pedirte permiso. En ese escenario, todo tu tráfico pasa por el dispositivo del atacante.
Conviene aclarar que estos ataques requieren que alguien esté físicamente presente y los ejecute activamente. No son automáticos ni omnipresentes. Pero tampoco son raros: en conferencias de ciberseguridad como DEF CON se montan redes de demostración cada año para ilustrar exactamente esto, y los resultados siempre generan titulares.
¿Qué pasa con tu dirección MAC y por qué importa?
La dirección MAC de tu dispositivo es un identificador que tu tarjeta de red emite constantemente cuando busca redes conocidas, incluso cuando no estás conectado a ninguna. Eso significa que cualquier sensor en un espacio físico puede rastrear tu movimiento dentro de un centro comercial, un aeropuerto o una ciudad simplemente detectando esa señal.
Los sistemas operativos modernos, como iOS 14 o Android 10 en adelante, han implementado la aleatorización de la dirección MAC para dificultar este rastreo. Pero la implementación no es perfecta en todos los dispositivos ni en todas las situaciones, y muchas aplicaciones o redes corporativas desactivan esa aleatorización para funcionar correctamente.
Esta práctica de rastreo por MAC se usó de forma masiva en el comercio minorista durante años. Empresas como Euclid Analytics o RetailNext la vendían como “analítica de afluencia”. Después del escrutinio regulatorio en Europa y Estados Unidos, el sector la reformuló y diversificó sus métodos, pero el rastreo de presencia física no desapareció: evolucionó. Tiene cierto paralelismo con cómo el comercio online predice tus compras antes de que tú mismo sepas que las harás.
¿Qué datos tuyos pueden terminar en manos de terceros?
Cuando el operador de una red wifi vende o cede datos a terceros, el paquete típico incluye datos de comportamiento agregados: a qué horas hay más usuarios, cuánto duran las sesiones, qué tipo de dispositivos predominan. Eso es lo que se describe en los términos de uso.
Lo que no siempre se menciona con igual claridad es que algunos operadores incluyen en sus contratos con anunciantes la posibilidad de perfilar usuarios con datos de navegación. Si el portal cautivo inyecta una cookie de seguimiento antes de darte acceso a internet, esa cookie puede seguirte por la web durante semanas. No es diferente de lo que ocurre con otras formas de vigilancia publicitaria, que el mercado de datos personales lleva años normalizando en sectores mucho más sensibles.
En la Unión Europea, el RGPD limita legalmente estas prácticas, pero la aplicación real es desigual. La Agencia Española de Protección de Datos ha sancionado a empresas por recogida excesiva de datos en redes wifi, pero las multas no siempre llegan a quienes operan redes pequeñas o temporales.
Qué puedes hacer para reducir la exposición
Usar una VPN es la recomendación más repetida, y tiene sentido: cifra todo tu tráfico desde el dispositivo hasta el servidor de la VPN, haciendo inútil cualquier intento de interceptación en la red local. Pero no todas las VPN son iguales. Servicios gratuitos como Hola VPN han sido documentados vendiendo el ancho de banda de sus usuarios a terceros. Una VPN de pago con política de no registro (como Mullvad o ProtonVPN) es una opción razonablemente fiable.
Más allá de la VPN, hay hábitos sencillos que reducen la superficie de exposición. No iniciar sesión en servicios bancarios o de correo electrónico desde redes abiertas es el más básico. Activar la opción “olvidar red” después de usarla evita que tu teléfono se conecte automáticamente si vuelve a detectarla. Y revisar que el navegador usa HTTPS en todas las páginas que visitas, algo que extensiones como HTTPS Everywhere facilitaban y que hoy Chrome y Firefox hacen en parte de forma nativa.
También conviene desactivar el wifi cuando no lo usas activamente. Un teléfono con el wifi encendido pero sin conexión emite sondas hacia todas las redes que recuerda, lo que crea un rastro de tus lugares habituales que cualquier sensor puede capturar. Esto no es especulación: es el mecanismo que las empresas de analítica de retail llevan usando más de una década, y que algunos mitos sobre ciberseguridad llevan años minimizando sin razón.
Para quien quiera ir más lejos, los navegadores Tor o el uso de DNS cifrado (DoH, DNS over HTTPS) añaden capas adicionales. Pero para la mayoría de personas, la combinación de VPN confiable, HTTPS y sentido común sobre qué se hace desde redes abiertas cubre el grueso del riesgo real.
No hay solución perfecta. La historia de la seguridad digital es en gran parte la historia de medidas que se adoptan tarde, después de que el daño ya está hecho. Las redes wifi públicas no son una excepción.
¿Seguirá siendo así cuando el wifi público se vuelva ubicuo?
La tendencia es hacia más cobertura wifi pública, no menos. Municipios como Barcelona o Madrid llevan años desplegando redes abiertas en espacios públicos, y la Unión Europea financió el programa WiFi4EU para dotar de conexión gratuita a miles de municipios europeos. Más infraestructura significa más puntos de acceso, más operadores implicados y más superficies donde los datos de los usuarios pueden quedar expuestos o recogerse con fines que no están bien explicados.
Al mismo tiempo, el cifrado por defecto mejora. El estándar WPA3, que empezó a implantarse en 2018, incluye protección individualizada por sesión incluso en redes abiertas, lo que complica los ataques de intercepción masiva. Pero la adopción de WPA3 es lenta: muchos routers instalados en pequeños negocios siguen usando WPA2 o incluso configuraciones más antiguas porque nadie los actualiza.
La pregunta que queda abierta no es técnica. Es política y social: quién tiene derecho a saber dónde estuviste, cuánto tiempo y con qué dispositivo, a cambio de darte unos minutos de internet gratuito. Y si ese precio, invisible en el momento de conectarte, es realmente lo que quieres pagar. Las empresas que gestionan estas redes ya tienen respuesta. La mayoría de usuarios, todavía no.
Todo esto conecta con algo más amplio: la pregunta de qué ocurre con tus datos cuando el operador de esa red cambia de manos, cierra o vende su cartera de clientes. Los datos recogidos hoy pueden sobrevivirte como cliente durante años.
Preguntas frecuentes
¿Es peligroso usar el wifi público para consultar el correo?
Depende de si usas HTTPS y una VPN. Si accedes al correo a través de un navegador con HTTPS activo o una app que cifra su tráfico, el contenido es difícil de interceptar. El riesgo mayor está en redes sin cifrado o en ataques de punto de acceso falso. En cualquier caso, evitar operaciones bancarias desde redes abiertas es una precaución razonable.
¿El wifi gratuito de los aeropuertos es más seguro que el de una cafetería?
No necesariamente. Los aeropuertos suelen tener redes más grandes y gestionadas por operadores profesionales, pero eso no elimina el riesgo de puntos de acceso falsos con el mismo nombre de red. Precisamente por su alto tráfico, son lugares atractivos para quien quiera interceptar datos. La recomendación es usar VPN independientemente del lugar.
¿Una VPN gratuita protege en el wifi público?
Algunas sí cifran el tráfico, pero muchas VPN gratuitas tienen modelos de negocio poco transparentes. Casos documentados como el de Hola VPN, que revendía el ancho de banda de sus usuarios, muestran que el producto gratuito puede convertirte en el producto. Las opciones de pago con auditorías de seguridad independientes ofrecen garantías más sólidas.
¿Mi teléfono puede ser rastreado aunque no me conecte al wifi?
Sí. Cuando el wifi está activado pero no conectado a ninguna red, el teléfono emite sondas buscando redes conocidas. Esas sondas contienen la dirección MAC del dispositivo y pueden ser captadas por sensores. Los sistemas operativos modernos aleatorizan parcialmente esa dirección, pero la protección no es completa en todos los contextos.
¿Qué dice la ley española sobre los datos que recogen las redes wifi públicas?
El RGPD obliga a los operadores a informar qué datos recogen y con qué finalidad, a obtener consentimiento cuando sea necesario y a no conservarlos más tiempo del justificado. La Agencia Española de Protección de Datos tiene competencia para sancionar incumplimientos, pero la aplicación práctica es desigual, especialmente en negocios pequeños o redes temporales.
¿Qué es el ataque “evil twin” y cómo me afecta?
Un ataque evil twin consiste en crear una red wifi con el mismo nombre que una legítima para que los dispositivos se conecten a ella sin que el usuario lo note. Todo el tráfico pasa entonces por el atacante. Requiere presencia física y ciertos conocimientos técnicos, así que no es un riesgo constante, pero ocurre y está documentado en entornos de alta densidad como aeropuertos o centros de convenciones.
