¿Es seguro el WiFi público? Lo que pasa de verdad cuando te conectas en el aeropuerto

Aterrizas después de nueve horas de vuelo. El móvil va por el 18 % de batería, no tienes datos locales y acaban de cambiar tu puerta de embarque al otro extremo de la terminal. Abres la lista de redes wifi y ahí está: Airport_Free_WiFi. Sin contraseña. Un toque y estás conectado.

Casi todo el mundo toca. Y casi siempre no pasa nada — que es exactamente por lo que la costumbre se queda.

Pero ese "casi siempre" está aguantando mucho peso. Los aeropuertos, los hoteles y las estaciones son de los pocos sitios donde un completo desconocido puede colocarse discretamente entre tú y el resto de internet. Y cuando sale mal, el precio no es una página que carga despacio: es una cuenta vaciada o un correo secuestrado que tardas meses en recuperar.

Esta guía pretende ser honesta. Buena parte de lo que se escribe sobre el wifi público lleva diez años desactualizado, y otra parte nunca fue más que marketing del miedo de empresas que venden suscripciones VPN. Así que vamos a ver qué ha cambiado de verdad, qué riesgos siguen siendo reales en 2026 y qué merece la pena hacer al respecto.

Por qué el wifi público no se parece en nada al de tu casa

En casa hay tres cosas trabajando a tu favor sin que te des cuenta. Sabes de quién es el router. La conexión entre tus dispositivos y ese router está cifrada con una contraseña que solo tiene tu familia. Y no hay nadie más en la red.

Una red pública abierta tira las tres por la ventana.

No puedes comprobar que la red sea lo que dice ser. Este es el punto clave, y sorprende a mucha gente. El nombre de una red wifi es solo una etiqueta que cualquier aparato puede emitir. No hay registro, ni verificación, ni certificado. Si tu móvil te muestra una red llamada Barajas_WiFi_Gratis, eso te dice exactamente lo mismo que un desconocido con chaleco reflectante asegurándote que trabaja allí.

En una red realmente abierta, el tráfico por radio no va cifrado. Cualquiera dentro del alcance y con el software adecuado ve la silueta de lo que hace la gente de alrededor: qué servicios, qué aplicaciones, cuántos datos, a qué horas. No necesariamente el contenido, pero más de lo que imaginas.

Quien gestiona la red ve pasar tu tráfico. Incluso un operador de hotspot absolutamente legítimo está, técnicamente, en medio de tu conexión. Que eso importe o no depende por completo de quién sea y de qué le permitan hacer sus condiciones de uso.

Lo que ha cambiado: la mitad de los consejos antiguos ya no valen

Hacia 2010, un desarrollador publicó una extensión de Firefox llamada Firesheep. Permitía que cualquiera sentado en una cafetería pinchara un nombre en una barra lateral y se apropiara de la sesión de Facebook de esa persona. No era nada sofisticado. Funcionaba porque la mayoría de webs de entonces solo cifraban la página de inicio de sesión y enviaban todo lo demás en texto plano.

Ese mundo ya no existe. La inmensa mayoría del tráfico web va hoy cifrado de extremo a extremo con HTTPS. El navegador te avisa a gritos cuando una página no lo está. Las aplicaciones verifican sus propios certificados. Y las consultas de DNS también viajan cada vez más cifradas. La imagen clásica del tipo con capucha en la mesa de al lado leyendo tu contraseña del banco en el aire es, en 2026, básicamente una pieza de museo.

Ahora bien, lo importante: el riesgo no ha desaparecido, se ha desplazado. Los atacantes dejaron de intentar espiar tráfico cifrado — porque hoy cuesta de verdad — y se pasaron a algo mucho más sencillo: conseguir que se lo entregues tú voluntariamente.

Los riesgos que siguen siendo reales

El gemelo malvado: una red falsa con el nombre del aeropuerto

El aparato necesario para emitir una red wifi cuesta menos que una cena decente y cabe en el bolsillo de una chaqueta. Lo enchufas en una sala de embarque, le pones un nombre creíble — Free_Airport_WiFi, Terminal2_Guest, o el nombre real de la red del aeropuerto con un guion bajo movido de sitio — y esperas. Los móviles que buscan la señal abierta más fuerte la encontrarán. Algunos se conectarán solos.

Una vez estás dentro de esa red, su dueño decide qué considera tu móvil que es "internet". Decide qué página carga cuando escribes una dirección. Decide qué se le responde a tu dispositivo cuando pregunta por actualizaciones. No puede romper el cifrado HTTPS, pero tampoco lo necesita: solo necesita que tomes una decisión confiada.

Portales cautivos falsos: el ataque más eficaz que existe en un aeropuerto

El portal cautivo es esa página de acceso que aparece al conectarte a una red pública. Los legítimos suelen pedir un correo electrónico, un número de habitación o simplemente un clic en "Acepto".

Los falsos piden un poco más. Datos de la tarjeta, "solo para verificar tu edad, no se te cobrará nada". El número de pasaporte o el localizador de tu reserva. O, el más dañino de todos, un botón de "Iniciar sesión con Google" que lleva a una copia clavada de la pantalla de acceso de Google.

Funciona tan bien porque le da la vuelta a tus instintos. En cualquier otro contexto, que te pidan la tarjeta de golpe salta todas las alarmas. Pero aquí estabas esperando una pantalla de acceso. La has provocado tú. Y aparece justo cuando debía aparecer. Ya tienes la guardia baja, estás cansado y tu puerta cierra en veinte minutos.

Ninguna red legítima de un aeropuerto, un hotel o una cafetería necesita el número de tu tarjeta, tu pasaporte ni la contraseña de tu correo para darte internet. Ninguna. Si un portal te lo pide, esa red o es hostil o es tan agresivamente comercial que deberías marcharte igualmente.

"Descarga nuestra app para conectarte"

Alguna cadena hotelera real lo hace, lo cual es una lástima, porque acostumbra a la gente al patrón. En un aeropuerto, la respuesta es no, sin pensarlo. Instalar software que te entrega una red que no puedes verificar echa por tierra todas las demás precauciones de este artículo.

Los avisos de certificado que te apetece saltarte

Si una red hostil intenta interceptar una conexión cifrada, tu navegador lo detecta y lanza un aviso a pantalla completa — normalmente rojo, normalmente alarmante, y normalmente con un discreto "continuar de todas formas" escondido abajo.

Ese aviso es la prueba de que el sistema funciona. En una red pública es una señal de stop absoluta, siempre. No existe ningún motivo legítimo para que la web de tu banco dé un error de certificado en una sala de embarque.

Redes que te explotan de forma completamente legal

No todos los riesgos son delictivos. Una parte considerable del wifi público "gratuito" la gestionan empresas de publicidad. El trato está escrito con todas las letras en unas condiciones que nadie lee: tú recibes ancho de banda y ellos reciben tu correo, el identificador de tu dispositivo, tu ubicación aproximada a lo largo del tiempo y permiso para construir un perfil y vender el acceso a él.

Dentro de la UE, el RGPD pone ciertos límites y te da derecho a acceder a esos datos y a pedir su borrado. Pero eso sirve de poco cuando aceptaste sin mirar y el operador tiene su sede fuera de Europa. Nadie te ha robado nada. Diste tu consentimiento. Solo que el precio no era cero, y tampoco estaba a la vista.

El wifi de los hoteles, que suele ser peor que el de los aeropuertos

Los hoteles reciben menos atención que los aeropuertos y a menudo merecerían más. Las credenciales suelen ser tu número de habitación y tu apellido, datos que vienen impresos en el sobre de la llave. Los equipos tienen a veces diez años y casi nunca se actualizan. Y en muchas redes de hotel los dispositivos de los huéspedes se ven entre sí, o sea que el portátil infectado de tres plantas más arriba está en el mismo segmento que tu móvil.

A eso se suma que en un hotel estás más relajado. Deshaces la maleta, te sientas y por fin haces esa transferencia que llevabas días posponiendo. Es justo el entorno donde la gente hace lo más delicado a través de su conexión menos fiable.

Cómo usar el wifi público sin quemarte

Si vas a conectarte igualmente — y a veces no queda otra — estas son las costumbres que de verdad importan, más o menos ordenadas por lo que aportan.

1. Ten la verificación en dos pasos activada en todas partes. Es, con diferencia, lo más valioso de esta lista. Casi cualquier ataque realista termina con alguien sujetando una contraseña que no puede usar, porque le falta tu segundo factor. Si no haces nada más, haz esto.
2. Pregunta al personal el nombre exacto de la red. Diez segundos en un mostrador desactivan por completo al gemelo malvado. Y fíjate en la palabra exacto: los atacantes cuentan con que no notes un guion bajo de más.
3. Desactiva la conexión automática a redes abiertas. En iPhone, Ajustes → Wi-Fi → "Solicitar acceso a redes", y quita la conexión automática de cada red. En Android está en las preferencias de wifi. Así evitas que tu móvil se conecte en silencio a cualquier cosa mientras va en el bolsillo.
4. Trata cada pantalla de acceso como hostil hasta que demuestre lo contrario. Correo electrónico o número de habitación: correcto. Tarjeta, pasaporte o botón de red social: cierra y vete.
5. No te saltes nunca un aviso de certificado. Ni una vez, ni "solo por esta vez".
6. Aplaza todo lo verdaderamente sensible. El banco, la sede electrónica, cualquier cosa con un pago. Aguanta una hora.
7. Olvida la red cuando termines. Si no, tu móvil la irá buscando en todas las ciudades siguientes — y ese nombre lo puede emitir cualquiera.
8. Desactiva la compartición de archivos y pon AirDrop solo en contactos. Diez segundos, y eliminas una categoría entera de molestias.
9. Mantén el sistema operativo actualizado. Aburrido, poco vistoso y la razón por la que la mayoría de ataques conocidos no te funcionan.

¿Sirve de algo una VPN?

Sí, para una cosa concreta, y vale la pena ser preciso con cuál.

Una VPN mete todo lo que sale de tu dispositivo en un túnel cifrado hasta un servidor en otro sitio. Para la red del aeropuerto — o para un gemelo malvado — tu tráfico se convierte en ruido sin sentido. Eso neutraliza de verdad el espionaje pasivo y la interceptación.

Lo que no hace es todavía más importante de entender:

• No te salva si escribes el número de tu tarjeta en un portal falso. Los datos los entregaste tú; que el camino fuera cifrado da igual.
• No te impide instalar software malicioso.
• No te hace anónimo, digan lo que digan los patrocinios.
• Desplaza tu confianza en lugar de eliminarla: del operador del aeropuerto al proveedor de la VPN. Con una VPN gratuita, eso suele ser un cambio a peor. Las apps de VPN gratis tienen un historial largo y bien documentado de registrar y vender exactamente el tráfico que prometían proteger.

Un servicio de pago con buena reputación es una herramienta razonable. No es un escudo que convierta el wifi público en seguro, y tratarlo como tal suele hacer que la gente baje la guardia en vez de subirla.

La solución más sencilla: no usar wifi público

Todos los riesgos descritos comparten una misma raíz: te conectaste a una red que no podías verificar, gestionada por alguien a quien no puedes identificar.

Si usas tus propios datos móviles, esa raíz desaparece. No se reduce: desaparece.

Las redes móviles funcionan justo al revés que el wifi público. Tu SIM se autentica criptográficamente con la red, así que un desconocido no puede hacerse pasar por un operador móvil como sí puede hacerse pasar por un hotspot. La conexión entre tu teléfono y la antena va cifrada por defecto. No hay página de acceso, así que no hay nada que falsificar. Y no compartes segmento de red con varios centenares de desconocidos.

El obstáculo de siempre era el precio. Las tarifas de roaming en el extranjero dolían lo suficiente como para que el wifi gratis pareciera la única opción sensata. Eso es precisamente lo que ha cambiado. Una eSIM de viaje es una SIM digital que instalas en el móvil antes de salir, normalmente en un par de minutos, sin sacar la tarjeta que lleva tu número de siempre. Aterrizas, los datos ya funcionan y pasas de largo del wifi gratuito sin llegar a abrir la lista.

Si no sabes si tu móvil es compatible, nuestra lista de dispositivos compatibles cubre todos los modelos actuales. Y si la tecnología te suena nueva, esta guía es un buen punto de partida.

Siendo justos: los datos móviles no son magia. Tu operador sigue viendo metadatos y ninguna conexión está por encima de toda sospecha. Pero eliminan toda la familia de ataques que depende de que confíes en la red de un desconocido — y en un aeropuerto, esa familia lo es prácticamente todo.

Respuestas rápidas

¿Puedo mirar el saldo del banco con el wifi del aeropuerto?

La aplicación está bien protegida y la conexión va cifrada, así que ya no es el desastre que fue en su día. Pero si puedes esperar a tener datos móviles, espera. No ganas nada haciéndolo en una red que no puedes verificar.

¿Una red con contraseña es más segura que una abierta?

Algo — el tráfico por radio va cifrado, así que el espionaje casual queda descartado. Pero si la contraseña está escrita en un cartel detrás del mostrador, la tiene todo el edificio, incluida la persona que te preocupa. Sube el suelo, no el techo.

¿Pueden hackearme el móvil solo por estar en el mismo wifi?

Solo por eso, no. Un móvil moderno y actualizado no acepta conexiones no solicitadas de otros dispositivos. El riesgo está en lo que te convencen de hacer — una página falsa, un aviso ignorado, una app instalada — no en la simple cercanía.

¿Mejor el punto de acceso de mi móvil que el wifi del hotel?

Sí, y está infravalorado. Si conectas el portátil al móvil, todo pasa por tu propia conexión móvil. Si viajas con datos de sobra, es la respuesta fácil para trabajar desde la habitación.

¿Y los puntos de carga públicos?

Existen ataques documentados a través de puertos USB de carga, pero siguen siendo raros, y los móviles modernos preguntan antes de dar acceso a datos por USB. Dile que no a ese aviso y carga tranquilo. Una batería externa barata evita la pregunta del todo.

En resumen

• El miedo clásico — que alguien lea tu contraseña en el aire — está prácticamente obsoleto. Lo resolvió HTTPS.
• El riesgo actual es el engaño: redes falsas, pantallas de acceso falsas y cosas que escribes tú mismo.
• Ninguna red gratuita legítima necesita tu tarjeta, tu pasaporte ni la contraseña de tu correo.
• La verificación en dos pasos te protege más que cualquier otra cosa de esta lista.
• Una VPN cifra el camino. No te protege de tu propio toque confiado.
• Tus datos móviles eliminan el problema de raíz, y una eSIM de viaje hace que eso salga a cuenta como no salía hace unos años.

La próxima vez que aterrices en un sitio desconocido y esa red gratuita aparezca la primera de la lista, la pregunta buena no es si es peligrosa. Es si realmente la necesitas.