¿Qué es un ataque Evil Twin?

El Evil Twin (gemelo malvado) es un punto de acceso WiFi fraudulento que suplanta a una red legítima copiando su nombre (SSID). Las víctimas se conectan creyendo que es la red real —de una cafetería, aeropuerto u oficina— y todo su tráfico pasa por el equipo del atacante, que puede espiarlo, modificarlo o robar credenciales.

¿Cómo se ejecuta?

El atacante clona el SSID de la red objetivo y, a veces, fuerza la desconexión de los usuarios de la red legítima (deauth) para que se reconecten al gemelo, que suele emitir con más señal. Con un portal cautivo falso puede pedir la contraseña del WiFi o credenciales de servicios, en un ataque de phishing sobre la propia conexión.

¿Cómo protegerse?

Usar siempre VPN en redes públicas, verificar la autenticidad de la red antes de conectarse, desactivar la conexión automática a WiFi conocidas, y preferir sitios con HTTPS. En entornos corporativos, WPA2/WPA3-Enterprise con 802.1X y sistemas de detección de puntos de acceso no autorizados (WIPS).

Cómo consigue que el dispositivo se conecte solo

Los teléfonos y portátiles guardan las redes a las que se han conectado y las buscan activamente. El atacante levanta un punto de acceso con el mismo nombre que una red conocida y, si la señal es más fuerte, muchos dispositivos se asocian sin intervención del usuario. En las variantes más agresivas se envían tramas de desautenticación para expulsar a los clientes de la red legítima y forzar que se reconecten — y al reconectarse, eligen la señal más potente, que es la del atacante.

Qué ve el atacante una vez conectado

Al controlar la puerta de enlace, ve todos los metadatos: qué dominios se visitan, a qué horas, desde qué aplicaciones. El contenido cifrado sigue protegido, pero puede intentar degradar conexiones a HTTP, presentar un portal cautivo falso que pida credenciales de correo corporativo, o inyectar contenido en el tráfico sin cifrar que todavía queda. El portal cautivo es la parte más eficaz: nadie sospecha de una pantalla que pide iniciar sesión en el wifi de un hotel.

Cómo protegerse en la práctica

Desactivar la conexión automática a redes abiertas y borrar del dispositivo las que ya no se usen. Desconfiar de cualquier portal que pida credenciales corporativas para dar wifi. Usar una VPN en redes que no sean propias, que cifra el tráfico extremo a extremo y vuelve irrelevante quién controle la puerta de enlace. Y en entornos corporativos, WPA3 o WPA2-Enterprise con certificados, donde el cliente verifica la identidad del servidor y un punto de acceso falso no puede completar la autenticación.