Cómo evitar que roben tu contraseña en redes Wi‑Fi públicas

23 nov 2025 • Laura

Conectarse a una red Wi‑Fi pública en un café, aeropuerto u hotel es tentador, pero ¿qué tan seguro es introducir tus contraseñas allí? ¿Basta con comprobar el candado del navegador? ¿Una VPN lo soluciona todo? En este artículo encontrarás una guía práctica y actualizada para navegar en redes públicas sin exponer tus contraseñas ni tus datos personales. Te explicamos qué riesgos existen, cómo configurar tus dispositivos, qué hábitos adoptar y qué señales de alarma vigilar para mantener tus cuentas a salvo.

Qué riesgos reales hay en una Wi‑Fi pública

Ataques de intermediario (MITM) y puntos de acceso falsos

En redes abiertas o mal configuradas, un atacante puede situarse entre tu dispositivo e Internet para interceptar o manipular el tráfico. Dos técnicas habituales son:

ARP spoofing/poisoning: en redes sin aislamiento, el atacante redirige tu tráfico a través de su equipo.
“Evil Twin”: crean un punto de acceso con el mismo nombre (SSID) que la red legítima para que te conectes por error.

Estas tácticas permiten capturar credenciales mal protegidas, robar cookies de sesión y realizar downgrade de cifrado en conexiones mal configuradas.

Portales cautivos y phishing

Muchos espacios públicos usan portales cautivos para darte acceso tras aceptar condiciones. Los atacantes imitan estos portales con páginas falsas para robar contraseñas o intentar que instales certificados o perfiles maliciosos. Si añades credenciales corporativas o de correo en un portal fraudulento, podrías comprometer toda tu organización.

Robo de sesiones y cookies

Aunque no introduzcas tu contraseña, si alguien captura tus tokens de sesión (por fallos de la web, mala configuración de HTTPS o extensiones inseguras), podrá acceder a tu cuenta como si fueras tú. Esto es especialmente crítico en redes abiertas sin aislamiento entre clientes.

Sniffing en redes abiertas

En redes abiertas, cualquier persona cerca puede observar tráfico no cifrado. Si una app o un sitio web envía datos sin HTTPS, tus credenciales y formularios podrían quedar expuestos.

Malware y perfiles falsos

Algunos portales cautivos te piden instalar aplicaciones, VPNs desconocidas o certificados raíz para “mejorar la señal”. Esto puede permitir descifrar tu tráfico o espiar todo lo que hagas desde ese dispositivo.

Hábitos imprescindibles para proteger tus contraseñas

Usa contraseñas únicas y robustas en cada servicio. Si una se filtra, que no abra la puerta a tus demás cuentas. Un gestor de contraseñas confiable simplifica esta práctica y reduce el riesgo de caer en webs falsas porque solo rellena en dominios verificados.
Activa la verificación en dos pasos (MFA) en todas tus cuentas. Prioriza app de autenticación o llaves de seguridad (FIDO2/WebAuthn) frente a SMS. Así, aunque alguien vea tu contraseña, no podrá entrar.
Adopta passkeys cuando estén disponibles. Las passkeys no se comparten como texto y son resistentes al phishing. Aunque uses Wi‑Fi pública, el secreto nunca sale de tu dispositivo. Aun así, evita iniciar sesión en redes dudosas si puedes posponerlo.
Prefiere “Iniciar sesión con Apple/Google/Microsoft” en servicios confiables. Estos métodos reducen la exposición de contraseñas directas y se integran bien con MFA.
Evita accesos críticos en redes públicas. Banca, RR. HH. o paneles administrativos es mejor hacerlos con datos móviles o desde una red doméstica o corporativa segura.
Desconfía de adjuntos y enlaces mientras navegas en una red pública. La VPN no te protege del phishing; mantén una actitud crítica y verifica el dominio real antes de introducir credenciales.

Configurar tus dispositivos antes de conectarte

Ajustes comunes recomendados

Desactiva la conexión automática a redes públicas y “Olvida” la red al terminar.
Apaga el uso compartido de archivos e impresoras y la detección de red en entornos públicos.
Activa el cortafuegos del sistema y evita aceptar conexiones entrantes.
Actualiza sistema operativo, navegador y apps antes de viajar; muchos ataques se apoyan en fallos ya corregidos.
Usa MAC aleatoria (dirección Wi‑Fi privada) para dificultar el rastreo.

Windows 11

Configura la red como Pública en Configuración > Red e Internet. Esto bloquea descubrimiento y compartición por defecto.
En Panel de control > Redes avanzadas, desactiva Descubrimiento de red y Compartir archivos e impresoras para perfiles públicos.
Activa Firewall de Windows para redes públicas y bloquea tráfico entrante no solicitado.

macOS

En Configuración del Sistema > Red > Wi‑Fi, desmarca “Solicitar unirse a redes abiertas” y gestiona manualmente.
En Compartir, desactiva servicios (Archivos, Pantalla, Impresoras) antes de conectarte.
En Red > Avanzado, usa Dirección Wi‑Fi privada si está disponible. En Firewall, activa y habilita modo sigiloso.

iOS/iPadOS

En la red, activa Dirección Wi‑Fi privada y Limitar seguimiento de la dirección IP.
Desactiva Acceso automático para redes públicas y configura AirDrop: Solo contactos.
Considera Private Relay de iCloud para navegación en Safari (no sustituye a una VPN completa).

Android

En Ajustes > Red e Internet > Wi‑Fi > Avanzado, activa MAC aleatoria y desactiva Escaneo siempre disponible en entornos desconocidos.
En Compartir conexión/cercanía, limita Nearby Share y evita dejar visible el dispositivo.
Revisa permisos de apps que acceden a redes locales y deshabilita servicios que no uses.

Navegadores: fuerza HTTPS y reduce fugas

Activa Modo solo HTTPS en Chrome, Firefox, Edge o Safari. Evita sitios que no ofrezcan HTTPS estricto (HSTS) para logins.
No ignores alertas de certificado. Si aparece un aviso, detén el inicio de sesión y cambia a datos móviles.

Conexión segura paso a paso en una Wi‑Fi pública

Verifica el SSID y la contraseña con el personal. Desconfía de redes “gratis” sin portal del lugar. Ojo con redes duplicadas con señal muy fuerte.
Prefiere WPA2/WPA3 con contraseña frente a redes abiertas. Aunque compartida, cifra el enlace aire‑dispositivo.
Tras conectarte, si aparece portal cautivo, usa un alias de email o uno temporal. Nunca introduzcas contraseñas de tus cuentas reales. Si te piden instalar apps, perfiles o certificados, no aceptes.
Activa tu VPN antes de abrir apps sensibles. Configúrala con kill switch y sin split tunneling para que todo el tráfico salga cifrado por la VPN.
Comprueba fugas DNS/IPv6 con una web de test. Si hay fugas, ajusta la VPN o evita tareas sensibles.
Usa solo sitios HTTPS y, si es posible, con HSTS. No introduzcas credenciales si el candado no está presente o hay advertencias.
Evita apps antiguas que no cifren correctamente. La versión web de servicios conocidos suele ser más segura que clientes de terceros.
Limita lo que haces: consulta noticias, itinerarios o contenidos no críticos; deja banca y gestiones sensibles para la red móvil.

VPN: qué hace y qué no hace

Una VPN cifra tu tráfico entre tu dispositivo y el servidor de la VPN, evitando que otros usuarios de la Wi‑Fi o el operador del punto de acceso vean tus datos o sitios visitados. Es especialmente útil en redes abiertas o poco confiables.

Qué sí hace: cifra el tráfico en la LAN, oculta DNS y destinos al proveedor local, dificulta MITM locales.
Qué no hace: no te protege de phishing, no impide que el sitio web vea tu inicio de sesión, no soluciona contraseñas débiles ni dispositivos comprometidos.

Elige una VPN con auditorías independientes, políticas claras de no registros, protocolos modernos (WireGuard/IKEv2/OpenVPN), kill switch, reconexión automática y protección frente a fugas DNS/IPv6. Evita VPNs “gratuitas” que monetizan con tus datos.

Alternativas más seguras a la Wi‑Fi pública

Datos móviles/compartir Internet: usar tu plan de datos (tethering) suele ser más seguro que una Wi‑Fi pública. Asegura tu punto de acceso con WPA3/WPA2 y contraseña fuerte.
eSIM local o tarjeta de datos en viajes: suele ser asequible y reduce la dependencia de redes abiertas.
Router de viaje con firewall: crea tu propia subred y añade una capa de aislamiento si debes usar la Wi‑Fi del hotel.
Tor Browser para navegación muy sensible: añade anonimato y capas de cifrado; úsalo junto con hábitos seguros.

Señales de alerta y qué hacer si sospechas

Aparecen alertas de certificado o el navegador insiste en que el sitio no es seguro.
El portal cautivo solicita instalar certificados o apps para “mejorar la conexión”.
Te desconectas y reconectas sin motivo o hay dos redes con el mismo nombre.
La red “gratuita” requiere credenciales corporativas o personales que no deberían pedirse.

Si sospechas de un ataque:

Desconéctate de la Wi‑Fi y desactívala temporalmente. Cambia a datos móviles.
Cambia las contraseñas de las cuentas usadas en esa sesión y revoca sesiones abiertas desde la configuración de seguridad de cada servicio.
Activa/Refuerza MFA si aún no lo has hecho.
Revisa actividad reciente de las cuentas (inicios de sesión, dispositivos, ubicaciones) y cierra sesiones desconocidas.

Buenas prácticas al terminar

Salir de tus sesiones en servicios sensibles en ese dispositivo, especialmente si es compartido.
Olvidar la red para impedir reconexiones automáticas en el futuro.
Vaciar tokens de acceso en aplicaciones que no necesites conectadas continuamente.
Revisar redes guardadas y eliminar SSIDs públicos que no necesites.