Podemos decir que las redes Wi-Fi son fundamentales hoy en día para conectarnos a Internet. Tenemos numerosos dispositivos que dependen de esta tecnología, por lo que cualquier problema que surja, puede suponer un daño importante. En este artículo, nos hacemos eco de un nuevo ataque AirSnitch que puede evadir el aislamiento del punto de acceso Wi-Fi y poner en riesgo una red de invitados que hayas creado. A continuación, tenéis todos los detalles.
Una red de invitados la puedes configurar para que se conecte cualquiera que vaya a tu casa. Incluso la podrías utilizar para conectar otros aparatos, como podrían ser dispositivos de domótica, y tenerlos separados de la principal. Va a tener un nombre y contraseña diferente, por lo que es fácilmente separable. Esto se hace por cuestiones de seguridad, por si algún dispositivo se ve comprometido, que la red principal no se vea afectada.
Nueva amenaza que compromete la seguridad del Wi-Fi
Un grupo de investigadores, firmado por Xin’an Zhou, Juefei Pu, Zhutian Liu, Zhiyun Qian, Zhaowei Tan, Srikanth V. Krishnamurthy y Mathy Vanhoef, todos de la Universidad de California, ha detectado una nueva amenaza, denominada AirSnitch, que tiene la capacidad de comprometer la seguridad de redes Wi-Fi que podemos usar en hogares, empresas y oficinas. Ha sido presentado en la NDSS 2026, una conferencia de ciberseguridad celebrada entre el 23 y el 27 de febrero en San Diego, California.
Hay que mencionar que AirSnitch es una serie de técnicas de ataques que podrían usarse contra redes Wi-Fi. No se trata de un programa en concreto, ni un malware que pueda comprometer un dispositivo. Lo que hace es explotar fallos en el uso de las redes Wi-Fi para aislar y gestionar dispositivos. No significa que un atacante pueda robar tu contraseña del Wi-Fi, ya sea WPA2 o WPA3, que son los últimos protocolos que han salido al mercado.
Esta investigación indica que el cifrado sería incapaz de proporcionar aislamiento de cliente, algo que sirve para bloquear la comunicación directa entre varios clientes conectados y que forma parte de todos los routers. Es lo que se conoce como aislamiento de clientes o AP Isolation. Un hipotético atacante conectado a esa red Wi-Fi, podría interceptar y redirigir el tráfico de otros dispositivos en esa misma red.
Ese aislamiento, según explican los investigadores en su informe, se podría anular de forma eficaz por medio de AirSnitch. Han realizado pruebas para confirmar que funciona en routers de marcas muy conocidas, como Netgear, D-Link, Ubiquiti y Cisco, además de otros que ejecutan DD-WRT y OpenWrt.
La lista de los 11 routers que han probado, es la siguiente:
- Netgear Nighthawk x6 R8000
- Tenda RX2 Pro
- D-Link DIR-3040
- TP-Link Archer AXE75
- ASUS RT-AX57
- DD-WRT v3.0-r44715
- OpenWrt 24.10
- Ubiquiti AmpliFi Alien Router
- Ubiquiti AmpliFi Router HD
- LANCOM LX-6500
- Cisco Catalyst 9130
Como podéis ver, tenemos pruebas en modelos muy populares, y en firmwares ampliamente utilizados por miles de personas.
Cómo funciona el ataque
En primer lugar, hay que tener en cuenta que el atacante debe de estar dentro de esa red Wi-Fi (debe estar conectado correctamente). Necesita saber la contraseña y conectarse. Por tanto, esto limita ya bastante el riesgo de que, en la práctica, alguien pueda comprometer tu red inalámbrica, siempre y cuando la tengas correctamente protegida y te garantices de que no se conecta un intruso. Es decir, si tienes la red Wi-Fi abierta y sin ningún tipo de autenticación, entonces estás en riesgo.
A través de técnicas de suplantación de direcciones MAC, algo único para cada dispositivo, ese atacante podría hacer que el punto de acceso lo asocie con la dirección que, en realidad, corresponde a otro aparato. Tradicionalmente el «aislamiento del AP» impide que dos dispositivos conectados a la red Wi-Fi de invitados y habilitando el AP Isolation, pueda comunicarse entre ellos. Airnitch lo que hace es engañar el «switch interno» del punto de acceso, para que asocie la MAC de la víctima con el puerto atacante.
Con esto, consigue redireccionar el tráfico legítimo, que debería ir al dispositivo correspondiente, hacia el atacante, por lo que ganaría control. A partir de ahí, ese atacante podría estar espiando. Podemos decir que estamos ante un ataque Man in The Middle, que significa que ese intruso, el atacante, se pone en medio entre el punto de acceso y el dispositivo, para interceptar el tráfico. Todos esos paquetes que, en teoría, estaban protegidos por el aislamiento de clientes, quedan expuestos. Muchos routers Wi-Fi usan esta misma lógica de conmutación interna para las redes privadas y de invitados, así que también se verían afectados en este caso. Un atacante de la red de invitados podría atacar la red privada.
Según explican los investigadores de seguridad, los atacantes podrían interceptar el tráfico, incluso con HTTPS, para ver los dominios buscados y utilizar el envenenamiento de caché DNS, lo que supone que podrían redirigir el tráfico de un sitio legítimo a uno falso. Por ejemplo, si la víctima entra en la página de su banco, podrían redirigirla a una web fraudulenta, para robar las contraseñas y datos. Este MitM es bidireccional mediante técnicas avanzadas, ya que falsifica y restaura la MAC original de forma muy rápida, entonces se podrían perder algunos paquetes.
Indican que, incluso, AirSnitch ofrece posibilidades que no eran posibles con otros ataques que han afectado al Wi-Fi, como el ataque KRACK, que surgió a partir de 2017 y que puso en riesgo muchos routers vulnerables que utilizaban WPA2 como cifrado.
A quién afecta
Este ataque parece funcionar solo si la red Wi-Fi de invitados o el atacante está en la misma VLAN. Por lo que es un problema para las redes Wi-Fi de invitados domésticos, las cuales tienden a estar en la misma VLAN que la principal (misma subred). Hay muchas marcas de routers que la red Wi-Fi de invitados tienen la misma subred 192.168.1.0/24, es aquí donde está el probelma. En configuraciones empresariales, lo más normal es configurar una VLAN por SSID, y la suposición general de que todos en la misma VLAN están en el mismo nivel de confianza, así que aquí no correríamos riesgo, a no ser que el atacante esté dentro de la misma red Wi-Fi (sepa la contraseña de acceso, o se haya autenticado mediante un servidor RADIUS).
Realmente, este problema podría afectar a hogares, oficinas y redes públicas de todo tipo. Sin embargo, como hemos explicado, el atacante necesita tener algún tipo de acceso a la red Wi-Fi, a diferencia de otros ataques, como los WEP, que simplemente necesitaban que estuviera dentro del alcance de la red. Es decir, es totalmente necesario que el atacante esté conectado a la red Wi-Fi como el resto de clientes.
Esto significa que, en la práctica, principalmente va a afectar a redes Wi-Fi públicas. Cualquier red que puedas encontrarte en aeropuertos, centros comerciales, bibliotecas… Es ahí donde un intruso podría tener acceso a esa red sin dificultad. No obstante, incluso si un atacante no tiene acceso a un SSID específico, podría usar AirSnitch si tiene acceso a otros SSID o BSSID que utilicen el mismo punto de acceso u otra infraestructura de conexión.
En redes inalámbricas en las que la contraseña sea pública o compartida ampliamente, además de aquellas que no tengan clave, es donde cualquiera podría ser un atacante potencial. Seguro que has estado en algún restaurante donde tienen un cartel con la contraseña del Wi-Fi puesta, por ejemplo.
Qué supone este ataque
Como hemos explicado, este tipo de ataque no significa que tu Wi-Fi esté en peligro y que cualquier vecino pueda entrar. No quiere decir que puedan romper el cifrado WPA2 o WPA3 y averiguar tu clave de acceso al Wi-Fi. Lo que sí supone, teniendo en cuenta lo que hemos explicado, y la necesidad de que ese atacante esté en la red, que rompe con la regla de que dos dispositivos dentro de una red protegida, no podrían atacarse entre sí al tener habilitado el AP Isolation.
Esto supone un ataque exitoso, que un atacante pueda interceptar tráfico interno de la misma VLAN aunque tengamos aislamiento de clientes. Esto deriva en robo de información, cookies, redirigir a la víctima a una web falsa, etc. Además, como indican los investigadores, este problema afecta a redes de todo tipo, tanto domésticas como empresariales.
Qué hacer para protegerte
Si te preocupa ser víctima de este tipo de ataque, es importante que estés correctamente protegido. Siempre es fundamental evitar intrusos en la red, por lo que tener una buena contraseña para el Wi-Fi, es un básico. Asegúrate de tener una que sea realmente robusta, lo que significa que tiene que ser totalmente aleatoria, con una longitud adecuada (12 o más caracteres) y tener letras (mayúsculas y minúsculas), números y otros símbolos especiales.
Además, los investigadores detrás de este informe recomiendan mejorar el aislamiento de la red. Los BSSID no confiables (como puede ser una red de invitados que has creado en tu router), pueden colocarse en una VLAN diferente. Estas VLAN pueden reducir el impacto, ya que separan los segmentos de red y logran que un atacante dentro de una VLAN, no pueda enviar paquetes ni espiar en otra VLAN.
La opción más segura, como explican los investigadores, es aplicar la confianza cero. Esto significa que va a desconfiar de cada nodo de una red, como si fuera una posible amenaza, hasta que realmente se demuestre que es fiable. Como usuario doméstico, lo puedes aplicar al desconfiar de cualquier red pública que veas. Utilizar una buena VPN, que permita cifrar el tráfico, te ayudará en estos casos en los que tienes que conectarte en un aeropuerto o en un hotel, por ejemplo.
Puedes ver el informe completo en su web oficial. También puedes consultar toda la documentación en GitHub.