Una red abierta resulta conveniente para cualquier usuario en tránsito, sin embargo, quizás deberías pensar dos veces antes de conectarte.

El WiFi gratis está presente en todos lados: en restaurantes, en hoteles, en aeropuertos. Incluso se ofrece en algunos buses y taxis. A muchas de estas redes se accede mediante una contraseña –un poquito más seguras−, pero otras no le preguntan nada al usuario. Esas son las más fáciles de quebrantar. Si alguien quiere hacerlo, lo hará sin despeinarse; aquellas que requieren autenticación lo harán demorarse unos minutos más. ¿El riesgo? Ser presa de un hacker.

"Vulnerar una red pública no requiere conocimientos (técnicos) demasiados avanzados. Basta con que tenga conocimientos básicos de redes y de protocolos de comunicación para hacer un ataque y es tan sencillo como leer un tutorial", advirtió Andrés Gómez, director de Nexa IT, una empresa de seguridad informática. Miles de páginas en Google y miles de videos en YouTube enseñan cómo hacerlo, incluso hasta en “30 segundos”.

Un ejemplo es el programa WireShark, que sin costo permite capturar la información que viaja por una red abierta. Y eso incluye desde fotos personales hasta los usuarios y contraseñas y datos de una tarjeta de crédito. Las redes se lo ponen demasiado fácil.

Cinco minutos y cinco pasos

El hacker debe cumplir con cinco fases para realizar un robo de identidad en una red abierta. ¿Cuánto tiempo le lleva? No más de cinco minutos. En ese tiempo, el técnico consiguió las especificaciones técnicas de un dispositivo –por ejemplo, su sistema operativo y su dirección de IP−, del que arrebató el login y contraseña de la cuenta de Linkedin del usuario –permitiéndole adueñarse de su currículo laboral y, en definitiva, de su reputación online−, reprodujo en su navegador las fotos que vio durante su estadía en la red e incluso vio que buscó información turística sobre Estados Unidos y del hotel donde se alojará durante su viaje. Si el usuario hubiera hecho la reserva durante esa conexión, el hacker se hubiera apoderado de su tarjeta de crédito. Si hubiera buscado su nombre en Google, por ejemplo, podría haber accedido a su vida entera.

Lo primero que hace un hacker es clonar la red. Genera un servicio de wifi con la misma configuración y nombre. Por ejemplo, lo llama “plazadecomidas2” para atrapar a las víctimas de un lugar específico que solo quieren conectarse a la frecuencia de mejor señal sin gastar de su paquete de datos móviles. Si es abierta, el atacante ya está leyendo lo que hace el usuario desprevenido. Si este accede a un servicio encriptado, por ejemplo, Facebook, le llevará unos minutos más, puesto que deberá romper ese filtro de seguridad. Pero lo hará.

Un desafío no mucho más complicado implica vulnerar un router. Ahí deberá obtener la dirección IP del aparato y acceder al panel de administración e ingresar un usuario por defecto –en el caso de que no haya sido cambiado− que puede conseguir en Google. De esta forma, “ya es dueño del router; la cantidad de cosas que puede hacer es prácticamente infinita”, explicó Gómez.

Una lista somera de posibilidades incluye robo y suplantación de identidad, espionaje, infección (y posible control remoto del dispositivo), utilización del equipo del usuario con fines ilegales (por ejemplo, pornografía infantil o robo de tarjetas de crédito). Un ataque frecuente es lo que se conoce como Man In The Middle, es decir, el hacker programa un sitio que oficia como peaje entre el usuario y su destino final y captura todo el tráfico.

Un estudio realizado por la empresa de asesoría en gestión de riesgos Risk Based Security calculó que más de 822 millones de registros fueron revelados alrededor del mundo en 2013 por estos métodos.

Así como se accede con facilidad a tutoriales en la web, el hacker interesado en profesionalizarse tiene a su disposición un gran arsenal de herramientas. En materia de software, Cain & Abel y Ettercap, entre otros, prometen ser útiles para interceptar y recuperar contraseñas, escanear redes y practicar ataques Man In The Middle. Estos programas fueron descargados 400 mil y 800 mil veces, respectivamente. También se puede comprar lo que se conoce como wifi Pineapple, un dispositivo simple, pequeño y portátil para apoderarse de una red pública. En Hackshop.com lo venden por US$99 y lo promocionan así: “Todo el tráfico de internet fluye a través de él. Los mails, los mensajes y las búsquedas en internet se ven fácilmente e incluso pueden ser modificados por el titular”.

El usuario común no puede evitar los riesgos, pero puede cuidarse. Un mecanismo de defensa es desactivar el WiFi. Los smartphones guardan todas las redes inalámbricas a las que se conectaron en algún momento; de esta forma, siempre está intentando acceder a alguna de ellas. Este trabajo emite señales que pueden ser captadas por una antena maliciosa. Por US$10 se puede comprar una online.

De acuerdo a Pablo Giordano, director de Arcanus, lo que más sucede en las redes de WiFi público es el robo de datos personales para ser vendidos a terceros. Ese negocio es muy redituable: en el mercado negro se pagan US$20 por número de tarjeta de crédito, hasta US$10 por cuenta de correo y hasta US$12 por usuarios de redes sociales, según la empresa de seguridad informática Symantec. También es común el robo de fotos. “El nivel de inconciencia es bastante grande. Con tal de no pagar, los usuarios hacen de todo en una red pública”, indicó. Y el hacker puede conseguir absolutamente todo mientras se toma un café.

Para evitar todos estos problemas, sigue estos seis consejos que te ayudarán a no caer en las garras de un usuario malintencionado en una red pública.

- Antivirus: Es vital contar con una solución antivirus actualizada, ya que previene las infecciones e incluso alertará sobre las conexiones potencialmente dañinas.

- Conectividad: En un lugar con conexión pública wifi, es más seguro usar la red móvil si el dispositivo cuenta con conectividad 3G o LTE.

- Sin credenciales: Evitar las redes sin contraseña. Si son la única opción, deshabilitar todos los servicios de ebanking, cuentas de correo, redes sociales y demás aplicaciones críticas.

- Encriptación: En lo posible, contar con una conexión de red privada virtual (VPN) –puede adquirirse por internet por US$ 9,99– que permite encriptar el tráfico que viaja por esa red.

- Desconfiar: Nunca hay que suponer que el enlace wifi es legítimo. Podría ser uno falso de igual nombre al recinto que ofrece la señal wifi gratuita. Siempre hay que preguntar a alguien del local por los datos correctos.

- HTTPS: Hay que configurar todos los sitios como seguros antes de acceder. La mayoría ofrece la posibilidad de habilitar HTTPS por defecto.