Ataque Evil Twin WiFi: Cómo los puntos de acceso falsos roban tus datos
Un ataque Evil Twin WiFi ocurre cuando cibercriminales configuran un punto de acceso inalámbrico fraudulento que suplanta una red legítima, como el WiFi de una cafetería, aeropuerto u hotel. Cuando las víctimas se conectan a esta red maliciosa, los atacantes pueden interceptar todos los datos sin encriptar transmitidos entre el dispositivo de la víctima e internet, incluyendo credenciales de acceso, información bancaria, correos electrónicos y actividad de navegación. Según reportes del FBI, estos ataques han aumentado en un 87% en lugares públicos de alto tránsito desde 2021, con pérdidas financieras promedio de 2.000 dólares por víctima. El ataque funciona porque la mayoría de dispositivos se conectan automáticamente a nombres de red familiares, y los usuarios rara vez verifican la autenticidad del WiFi público. Los atacantes utilizan equipos económicos (a veces solo una laptop y un adaptador WiFi portátil) para crear redes con nombres idénticos o similares a los puntos de acceso legítimos. Una vez conectados, el tráfico de las víctimas fluye a través del dispositivo del atacante, permitiendo el monitoreo en tiempo real y la captura de datos. La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) reporta que el 68% de los viajeros se han conectado a al menos una red comprometida sin darse cuenta. Lo que hace particularmente peligrosos estos ataques Evil Twin es su invisibilidad. A diferencia de correos de phishing o sitios web sospechosos, a menudo no hay señales de alerta obvias al conectarse a una red falsa. Las víctimas pueden utilizar el WiFi fraudulento durante horas o incluso días, realizando banca en línea, accediendo a correos de trabajo e ingresando contraseñas en múltiples cuentas. La Comisión Federal de Comercio documentó más de 12.000 casos en 2023 donde víctimas tuvieron credenciales bancarias robadas a través de redes WiFi falsas, resultando en transacciones no autorizadas por un total de 24 millones de dólares. Estos ataques típicamente permanecen sin detectarse durante 1-3 días hasta que las víctimas notan actividad sospechosa en cuentas o cargos no autorizados.
Common Tactics
- • Configurar puntos de acceso inalámbricos con nombres idénticos a negocios legítimos, como 'Starbucks_WiFi' o 'Aeropuerto_WiFi_Gratis', a menudo ubicados cerca del establecimiento real para parecer más creíbles.
- • Crear redes con nombres ligeramente mal escritos o variaciones como 'Hilton_Huésped' en lugar de 'Hilton-Huésped' para engañar a usuarios que no prestan atención cuidadosa a las convenciones de nomenclatura exacta.
- • Transmitir señales WiFi más fuertes que las redes legítimas, haciendo que los dispositivos se conecten automáticamente al Evil Twin en lugar del punto de acceso auténtico, especialmente si el dispositivo se ha conectado previamente a una red con nombre similar.
- • Mostrar páginas de portal cautivo convincentes que imiten la página de bienvenida WiFi del negocio real, completas con logos y términos de servicio, para cosechar credenciales cuando los usuarios intentan autenticarse.
- • Realizar ataques de eliminación de SSL que degradan conexiones HTTPS seguras a HTTP sin encriptar, permitiendo a los atacantes ver y modificar datos en tránsito sin activar advertencias de seguridad del navegador en dispositivos antiguos.
- • Utilizar software de captura de paquetes para capturar y analizar todo el tráfico de red, enfocándose específicamente en formularios de inicio de sesión sin encriptar, clientes de correo electrónico y aplicaciones que transmiten credenciales o tokens de sesión en texto plano.
How to Identify
- Múltiples redes con nombres idénticos o muy similares apareciendo en tu lista de WiFi, especialmente en lugares donde esperarías solo una red oficial del negocio o recinto.
- Redes WiFi que no requieren contraseña o utilizan contraseñas genéricas como 'contraseña123' en lugares donde la red legítima normalmente requiere credenciales proporcionadas por el personal o códigos de acceso.
- Páginas de conexión que solicitan información inusual más allá de la aceptación típica de términos de servicio, como direcciones de correo electrónico, números de teléfono, detalles de tarjeta de crédito o números de identificación solo para acceder al WiFi.
- Recibir advertencias inesperadas de certificado de seguridad al acceder a sitios web familiares, particularmente servicios bancarios o de correo electrónico, lo que indica que alguien podría estar interceptando tus conexiones encriptadas.
- Velocidades de internet notoriamente más lentas o desconexiones frecuentes a pesar de mostrar una potencia de señal fuerte, lo que puede indicar que tu tráfico está siendo enrutado a través del dispositivo de un atacante para monitoreo.
- Tu dispositivo conectándose automáticamente a una red que no recuerdas haber unido previamente, especialmente si el nombre de la red coincide con un nombre común de WiFi público pero te encuentras en una ubicación inesperada.
How to Protect Yourself
- Verifica el nombre exacto de la red WiFi y la contraseña con los miembros del personal o señalización oficial antes de conectarte, y evita redes con nombres genéricos como 'WiFi Gratis' o 'WiFi Público' que carecen de marca del negocio.
- Utiliza una Red Privada Virtual (VPN) de reputación en todos tus dispositivos al conectarte a WiFi público, que encripta tu tráfico de internet de extremo a extremo e impide que los atacantes intercepten tus datos incluso en redes comprometidas.
- Desactiva las características de conexión WiFi automática en tu smartphone, tablet y laptop para evitar que tus dispositivos se unan a redes que suenen familiares sin tu aprobación explícita cada vez.
- Habilita autenticación de dos factores en todas tus cuentas críticas (banca, correo electrónico, redes sociales) para que incluso si tu contraseña es robada a través de un ataque Evil Twin, los atacantes no puedan acceder a tus cuentas sin el segundo factor de autenticación.
- Evita realizar actividades sensibles como banca en línea, compras o acceso a sistemas de trabajo mientras estés en WiFi público; en su lugar, utiliza tu conexión de datos celulares o espera hasta que estés en una red confiable.
- Monitorea regularmente tus cuentas financieras e informes de crédito para detectar actividad no autorizada, y cambia inmediatamente las contraseñas de cualquier cuenta a la que hayas accedido mientras estabas en WiFi público si sospechas que te conectaste a una red comprometida.
Real-World Examples
Una consultora empresarial se conectó al WiFi 'Marriott_Conferencia' en un hotel donde asistía a una conferencia de tres días. La red era en realidad un Evil Twin configurado por atacantes en el estacionamiento. Durante dos días, accedió a su correo empresarial, bases de datos de clientes y banca en línea. Los atacantes capturaron sus credenciales e hicieron transferencias no autorizadas por un total de 3.400 dólares de su cuenta empresarial antes de que el fraude fuera detectado.
Un estudiante universitario en un aeropuerto se conectó a lo que parecía ser la red oficial 'SFO_WiFi_Gratis' mientras esperaba un vuelo retrasado. Durante una escala de cuatro horas, revisó su correo electrónico, redes sociales e hizo una compra en línea. Dos días después, su cuenta de Amazon había sido comprometida y utilizada para ordenar 1.800 dólares en artículos electrónicos, y su contraseña de correo había sido cambiada, bloqueándolo de múltiples servicios conectados.
Una pareja en vacaciones se conectó a 'Resort_WiFi_Huésped' en su hotel frente a la playa, sin darse cuenta de que era una red falsa creada por criminales enfocados en turistas. Durante tres días, utilizaron el WiFi para reservar excursiones, verificar sus saldos bancarios y publicar fotos de vacaciones. Una semana después de regresar a casa, descubrieron 2.600 dólares en cargos fraudulentos en su tarjeta de crédito y encontraron que sus cuentas de redes sociales habían sido comprometidas para enviar mensajes de phishing a sus contactos.