El Wi-Fi gratuito de hoteles, aeropuertos, cafeterías o espacios de trabajo compartidos sigue siendo una comodidad muy atractiva para usuarios y profesionales en movilidad. Permite ahorrar datos, conectarse rápido y mantener cierta continuidad laboral fuera de la oficina. Pero también introduce un riesgo que muchas veces se subestima: perder el control del canal por el que viaja la información.

Uno de los escenarios más conocidos es el ataque Man in the Middle o MITM, en el que un atacante logra situarse entre el dispositivo de la víctima y el servicio legítimo al que intenta acceder. Desde esa posición puede observar, capturar o modificar comunicaciones sin que el usuario detecte necesariamente un fallo visible. La página carga, la aplicación responde y la conexión parece normal. Esa apariencia de normalidad es, precisamente, parte del problema.

Qué ocurre en un ataque Man in the Middle

En una comunicación normal, el dispositivo del usuario establece conexión con un servidor: una web, un servicio de correo, una aplicación corporativa o una plataforma bancaria. En un ataque MITM, el atacante consigue interponerse en ese flujo. Puede hacerlo controlando una red Wi-Fi falsa, manipulando la resolución de nombres, aprovechando configuraciones débiles en una red local o explotando dispositivos y navegadores desactualizados.

En redes públicas, el caso más sencillo es el punto de acceso malicioso. El atacante crea una red con un nombre similar al de la red legítima del hotel, aeropuerto o cafetería. El usuario se conecta pensando que está usando el Wi-Fi oficial, pero en realidad su tráfico pasa por una infraestructura controlada por un tercero.

También existen técnicas más avanzadas en redes locales, como ataques de suplantación ARP, manipulación DNS o intentos de degradar conexiones seguras. En entornos corporativos mal segmentados, un atacante que consiga acceso a la LAN puede intentar redirigir tráfico interno, capturar credenciales o interferir en comunicaciones entre equipos y servicios.

El objetivo puede variar. En algunos casos se busca leer información. En otros, robar credenciales, capturar cookies de sesión, alterar respuestas, redirigir al usuario hacia páginas falsas o modificar contenido en tránsito. Cuando la víctima trabaja con cuentas corporativas, el impacto puede ir mucho más allá del dispositivo afectado.

Por qué HTTPS ayuda, pero no lo resuelve todo

El uso de HTTPS ha reducido mucho la exposición frente a ataques MITM clásicos. Cuando una web usa TLS correctamente, la comunicación entre navegador y servidor viaja cifrada y autenticada. Esto dificulta que un tercero pueda leer o modificar el contenido.

Pero HTTPS no elimina todos los riesgos. Si el usuario ignora avisos de certificados, instala perfiles no confiables, accede a dominios falsos o utiliza aplicaciones que no validan correctamente los certificados, el atacante puede seguir encontrando oportunidades. Además, el cifrado no protege frente a una página de phishing bien construida si la víctima introduce voluntariamente sus credenciales en un sitio falso.

Por eso la recomendación no debería limitarse a “mira si aparece el candado”. Hay que comprobar que el dominio es correcto, que la web empieza por https://, que no hay avisos del navegador y que no se están introduciendo datos sensibles en páginas abiertas desde enlaces sospechosos.

En el ámbito empresarial, la protección debe ir más allá del navegador. Las aplicaciones internas, APIs, clientes de correo, VPN corporativas y herramientas SaaS deben validar certificados de forma estricta y evitar configuraciones que acepten conexiones inseguras por comodidad.

Medidas prácticas para usuarios y empresas

Para usuarios en movilidad, la primera defensa es evitar redes públicas para operaciones sensibles. La banca online, el acceso a correo profesional, los paneles de administración, la firma de documentos o el intercambio de información confidencial deberían hacerse desde datos móviles, redes de confianza o una VPN fiable.

La VPN no convierte una red insegura en segura, pero reduce mucho la exposición al cifrar el tráfico entre el dispositivo y el punto de salida del servicio. Eso sí, conviene evitar VPN gratuitas de origen dudoso. Si el proveedor de VPN no es confiable, el problema se traslada de la red pública al propio proveedor.

También es recomendable desactivar la conexión automática a redes abiertas, olvidar redes que ya no se usan, mantener sistema operativo y navegador actualizados, activar la verificación en dos pasos y usar gestores de contraseñas. Estos últimos ayudan a detectar dominios falsos, ya que no rellenan credenciales si la URL no coincide con la legítima.

Para empresas, el enfoque debe ser más amplio. No basta con advertir a los empleados de que tengan cuidado. Hay que ofrecer VPN corporativa, autenticación multifactor, políticas de acceso condicional, EDR actualizado, configuración segura de dispositivos y formación clara sobre uso de redes públicas.

Además, los negocios que ofrecen Wi-Fi a clientes deben separar la red de invitados de la red interna. La red pública no debería tener visibilidad sobre sistemas de gestión, TPV, impresoras, servidores o equipos administrativos. La segmentación, el aislamiento de clientes, WPA2 o WPA3, contraseñas robustas y una configuración adecuada del router reducen riesgos básicos.

El factor más débil sigue siendo la confianza excesiva

Los ataques Man in the Middle funcionan porque se apoyan en una confianza que el usuario concede demasiado rápido. Se confía en que la red con el nombre del hotel es la correcta. Se confía en que una página que carga es legítima. Se confía en que una alerta del navegador no será importante. Y se confía en que una conexión gratuita no tendrá coste oculto.

En verano, esa confianza aumenta porque se improvisa más. Se trabaja desde otros lugares, se conectan más dispositivos fuera de casa y se mezclan usos personales y profesionales. Esa combinación ofrece a los atacantes más oportunidades.

El MITM no es una amenaza nueva, pero sigue siendo relevante porque explota algo que continúa ocurriendo todos los días: usuarios conectándose a redes que no controlan para hacer tareas que sí son sensibles. La solución pasa por reducir esa superficie de riesgo, aplicar cifrado de extremo a extremo cuando sea posible y asumir que una red pública debe tratarse siempre como un entorno no confiable.

La ciberseguridad en movilidad empieza antes de abrir el correo o entrar en una web. Empieza al elegir la red.

Preguntas frecuentes

¿Qué es un ataque Man in the Middle?
Es un ataque en el que un tercero se coloca entre el usuario y el servicio legítimo para interceptar, leer o modificar la comunicación sin que la víctima lo note necesariamente.

¿HTTPS evita los ataques MITM?
Reduce mucho el riesgo si está bien implementado y el usuario no ignora avisos de seguridad. Aun así, no protege frente a redes falsas, phishing, dominios fraudulentos o malas prácticas en aplicaciones.

¿Qué deben hacer las empresas para reducir el riesgo?
Usar VPN corporativa, autenticación multifactor, dispositivos actualizados, segmentación de redes, acceso condicional, formación a empleados y separación clara entre redes internas y redes de invitados.