Seguridad de WiFi en aeropuertos: cómo proteger a los pasajeros en redes públicas

Resumen ejecutivo

Para los CTO y directores de TI que gestionan entornos públicos de alta densidad, la pregunta de si el WiFi de los aeropuertos es seguro no es una mera consulta de un consumidor, sino un desafío de cumplimiento e infraestructura con implicaciones de responsabilidad directa. Las redes de los aeropuertos presentan una superficie de ataque única y dinámica: miles de conexiones efímeras cada hora, un ecosistema de dispositivos heterogéneo que va desde móviles de consumo hasta portátiles corporativos, y una combinación de tráfico de invitados, personal, comercios y tecnología operativa (OT) sobre una infraestructura que a menudo va por detrás de los estándares de seguridad actuales.

Las amenazas principales, como los puntos de acceso (AP) Evil Twin y las instalaciones de hardware no autorizado (rogue), son ataques de bajo coste y alto impacto que requieren una experiencia técnica mínima para su ejecución. Si no se mitigan, los pasajeros se enfrentan al robo de credenciales y al fraude financiero, mientras que los operadores aeroportuarios se exponen a medidas de ejecución de la GDPR y a daños en su reputación. Al aplicar WPA3 con cifrado inalámbrico oportunista, implementar una segmentación estricta de VLAN, desplegar sistemas de prevención de intrusiones inalámbricas (WIPS) e integrar una plataforma de WiFi de invitados segura y que cumpla con la GDPR, los operadores de las instalaciones pueden proteger los datos de los pasajeros mientras mantienen una conectividad fluida. La capa de analítica WiFi de Purple añade inteligencia operativa sobre esta base de seguridad, convirtiendo la incorporación segura de usuarios en un ROI comercial medible.

Análisis técnico profundo: el panorama de amenazas de WiFi en aeropuertos

Los entornos aeroportuarios se encuentran entre los espacios públicos más atacados para las intrusiones inalámbricas. El gran volumen de usuarios de paso, la naturaleza transitoria de las conexiones (donde los usuarios rara vez informan de anomalías) y la presencia de viajeros corporativos de alto valor que transmiten datos confidenciales crean un escenario ideal para los actores maliciosos. Comprender los vectores de ataque específicos es un requisito previo para diseñar una arquitectura de contramedidas eficaz.

Puntos de acceso Evil Twin

Un evil twin es un AP malicioso configurado para transmitir exactamente el mismo identificador de conjunto de servicios (SSID) que la red legítima del aeropuerto - por ejemplo, "Airport Free WiFi" o "LHR_Passenger_WiFi". Dado que los dispositivos cliente estándar aplican una selección de red automática basada en la coincidencia de SSID y la intensidad de la señal, el dispositivo de un pasajero preferirá conectarse al evil twin si este ofrece una señal más fuerte que la infraestructura legítima. Esto es muy fácil de lograr: un router portátil que transmita a máxima potencia desde un asiento cercano superará fácilmente a un AP empresarial montado en el techo que funcione a niveles de potencia regulados.

Una vez que un cliente se conecta al evil twin, el atacante puede realizar varias clases de ataques. La interceptación pasiva captura tráfico HTTP no cifrado, consultas DNS y cookies de sesión. El SSL stripping degrada las conexiones HTTPS a HTTP en tiempo real, lo que expone las credenciales en sitios que no implementan HTTP Strict Transport Security (HSTS). El spoofing de DNS redirige a los usuarios a páginas de phishing que imitan portales bancarios o sistemas de reserva de aerolíneas. El pasajero ve una conexión normal sin ningún indicador de advertencia, ya que el evil twin proporciona acceso real a Internet a través de su propia conexión ascendente - el ataque es completamente transparente para el usuario final.

Para un atacante, los costes operativos son mínimos: un router de viaje de consumo, un portátil con herramientas de código abierto y un asiento en la sala de salidas. Este ataque no requiere ningún acceso físico a la infraestructura del aeropuerto.

Puntos de acceso no autorizados (Rogue AP)

Los Rogue AP son dispositivos no autorizados que están conectados físicamente a la infraestructura de red cableada del aeropuerto. A diferencia de los evil twins, que funcionan completamente de forma inalámbrica, los Rogue AP representan un vector de amenaza interna, ya que requieren acceso físico a un puerto de red. Sin embargo, en un entorno aeroportuario grande con cientos de concesiones comerciales, contratistas de servicios y personal de limpieza, obtener acceso físico a un puerto de red no es difícil.

La fuente más común de Rogue AP no es un actor malicioso, sino el personal con buenas intenciones. Un concesionario minorista que experimenta una cobertura WiFi deficiente en la Terminal 3 compra un router de consumo y lo conecta al puerto Ethernet detrás de su mostrador. El router transmite su propio SSID, eludiendo los cortafuegos empresariales, las políticas de control de acceso a la red (NAC) y las configuraciones WPA3 Enterprise, y crea una ruta directa y no gestionada desde la Internet pública hacia la red interna del aeropuerto. A partir de ese momento, cualquier dispositivo conectado al Rogue AP - ya sea el terminal de punto de venta (POS) del concesionario o un pasajero que se haya conectado accidentalmente - obtiene un acceso potencial a nivel de red a sistemas que deberían estar completamente aislados. Para los operadores de transporte y los equipos de IT de los aeropuertos, el problema de los AP falsificados se vuelve aún más complejo debido a la inmensidad del entorno. Un gran aeropuerto internacional puede tener cientos de puertos de red distribuidos en terminales, locales comerciales, salas VIP y zonas de oficinas. Sin herramientas de detección automatizadas, la auditoría manual resulta inviable.

Ataques Man-in-the-Middle

Tanto el escenario de Evil Twin como el de AP falsificado permiten realizar ataques Man-in-the-Middle (MitM), donde el atacante se posiciona entre el dispositivo cliente y la red legítima. En un escenario MitM, el atacante puede interceptar, leer y modificar el tráfico en ambas direcciones. El cifrado TLS moderno reduce significativamente el impacto de los ataques MitM en el tráfico HTTPS, pero la superficie de ataque sigue siendo importante: los protocolos no cifrados, las implementaciones de TLS mal configuradas y el uso de aplicaciones heredadas que no aplican la validación de certificados crean brechas que pueden ser explotadas.

Para los viajeros corporativos, que representan una parte significativa de los usuarios de WiFi en los aeropuertos, los ataques MitM dirigidos a capturar credenciales de VPN o secuestrar sesiones de correo electrónico corporativo representan un vector de ataque de alto valor que multiplica el impacto perjudicial más allá del propio pasajero.

-

Guía de implementación: Arquitectura de seguridad

Abordar el panorama de amenazas de WiFi en aeropuertos requiere una arquitectura de defensa en profundidad por capas. Ningún control único es suficiente; el objetivo es hacer que cada capa sucesiva de ataque sea progresivamente más difícil y detectable.

Capa 1: Estándares de cifrado y autenticación

La transición a WPA3 es el requisito principal. Para redes públicas abiertas, WPA3 introduce el cifrado inalámbrico oportunista (OWE), definido en la norma IEEE 802.11-2020. OWE proporciona un cifrado individualizado para cada sesión de cliente sin necesidad de una contraseña compartida o una clave previamente compartida. Cada asociación de cliente-AP negocia un intercambio único de claves Diffie-Hellman, lo que significa que incluso si un atacante captura el tráfico de radiofrecuencia bruto de toda la terminal, no podrá descifrar ninguna sesión específica. Esto mitiga directamente la escucha pasiva y elimina el principal vector de ataque de interceptación en redes abiertas.

Para los segmentos de red autenticados (personal, operaciones, inquilinos minoristas), IEEE 802.1X con autenticación RADIUS es el estándar adecuado. 802.1X aplica la autenticación por dispositivo antes de otorgar acceso a la red, donde cada evento de autenticación se registra para fines de cumplimiento y auditoría. Combinado con el protocolo de autenticación extensible basado en certificados (EAP-TLS), elimina por completo los ataques basados en credenciales contra la red del personal.

Para aquellos recintos que buscan una incorporación de pasajeros sin interrupciones, OpenRoaming (el estándar de identidad federada de la Wireless Broadband Alliance) proporciona una autenticación basada en perfiles que conecta automáticamente a los pasajeros a redes verificadas sin necesidad de seleccionar manualmente el SSID. Purple actúa como un proveedor de identidad gratuito dentro del ecosistema OpenRoaming bajo su licencia Connect, lo que permite a los aeropuertos ofrecer una conectividad segura y sin fricciones, al tiempo que elimina el factor de error humano en la selección de redes. Esto es directamente relevante para la amenaza del Evil Twin: si el dispositivo de un pasajero se conecta automáticamente a través de un perfil verificado, nunca se conectará a un Evil Twin que transmita el mismo SSID.

Capa 2: Segmentación de red y aislamiento de clientes

A nivel de AP, se debe aplicar un etiquetado VLAN estricto para aislar por completo el tráfico de invitados de la tecnología operativa (OT), las redes del personal y los sistemas de punto de venta (POS) de las tiendas. El modelo de segmentación mínimo para un entorno aeroportuario debe incluir: una VLAN pública para invitados (solo acceso a Internet, sin enrutamiento interno), una VLAN para el personal (autenticada mediante 802.1X, con acceso a sistemas internos), una VLAN para tiendas e inquilinos (aislada tanto de invitados como de personal, con acceso a Internet para sistemas POS) y una VLAN de operaciones (con aislamiento físico o cortafuegos estrictos, para señalización digital, gestión del edificio y sistemas de la zona de operaciones).

El aislamiento de clientes (aislamiento de Capa 2 entre dispositivos ubicados en la misma VLAN) debe estar habilitado obligatoriamente en la VLAN de invitados. Sin el aislamiento de clientes, dos pasajeros conectados a la misma red de invitados pueden comunicarse directamente a nivel de IP, lo que posibilita ataques de dispositivo a dispositivo. Esta es una configuración del controlador WiFi que a menudo se pasa por alto en las implementaciones heredadas.

Para los entornos de hostelería y comercio minorista que operan dentro de las terminales del aeropuerto, se aplican los mismos principios de segmentación. Independientemente de la relación comercial con el operador del aeropuerto, la sala VIP de un hotel o una concesión minorista debe ser tratada como un segmento de red no seguro.

Capa 3: Detección y prevención de intrusiones inalámbricas (WIDS/WIPS)

Un sistema de prevención de intrusiones inalámbricas es la primera línea de defensa automatizada contra las amenazas de Evil Twin y AP no autorizados. El WIPS debe configurarse para escanear continuamente el entorno de radiofrecuencia en todos los canales y bandas (2.4 GHz, 5 GHz y 6 GHz para implementaciones WiFi 6E) en busca de SSID no autorizados, suplantación de direcciones MAC y ataques de saturación por desautenticación.

Tras detectar un evil twin - identificado por una coincidencia de SSID y un BSSID que no coincide con ningún AP autorizado en la infraestructura gestionada - el WIPS debe implementar automáticamente la contención. La contención implica transmitir tramas de desautenticación IEEE 802.11 dirigidas a los clientes que intentan asociarse con el AP malicioso, impidiendo una conexión exitosa. Esta es una respuesta automatizada a velocidad de máquina, mucho más rápida que cualquier intervención de un operador humano.

Para la detección de AP no autorizados (rogue AP), el WIPS correlaciona las observaciones radioeléctricas con la topología de la red cableada. Cualquier AP que emita por el aire y que también aparezca como un dispositivo conectado en la red cableada - pero que no esté en el inventario de AP autorizados - se marca como no autorizado. A continuación, el sistema puede activar el apagado automático del puerto en el switch gestionado para desconectar físicamente el dispositivo.

Capa 4: Filtrado DNS y diseño de Captive Portal seguro

Independientemente del estado de seguridad del propio dispositivo, el filtrado a nivel de DNS proporciona un control crucial para proteger a los usuarios de dominios maliciosos. Al enrutar todas las consultas DNS a través de un resolvedor de filtrado, la red puede bloquear la resolución de dominios de phishing conocidos, infraestructuras de comando y control y sitios de distribución de malware. Esto es especialmente valioso en el contexto de los aeropuertos, donde los pasajeros pueden conectar dispositivos comprometidos que ya estaban infectados antes de llegar.

Como se detalla en nuestra guía sobre Proteja su red con DNS sólido y seguridad, la implementación de DNS sobre HTTPS (DoH) o DNS sobre TLS (DoT) para las conexiones del resolvedor evita que las consultas DNS sean interceptadas o suplantadas durante el tránsito - una consideración relevante cuando la contención del WIPS puede no capturar de inmediato cada evil twin.

El Captive Portal es el punto de contacto inicial para la incorporación de los pasajeros y debe diseñarse considerando la seguridad como un requisito de primer orden, no como un elemento secundario. El portal debe servirse a través de HTTPS con un certificado válido de una entidad de certificación de confianza. Los formularios de incorporación deben recopilar únicamente los datos necesarios para los fines especificados (principio de minimización de datos del GDPR Artículo 5), con mecanismos de consentimiento explícitos y granulares para cualquier uso de marketing. La plataforma de Captive Portal de Purple está diseñada específicamente para estos requisitos de conformidad, proporcionando captura de datos que cumple con el GDPR, gestión de consentimiento e integración fluida con capas de análisis. Para comprender cómo escala esto en entornos aeroportuarios multiterminal, consulte WiFi para aeropuertos: cómo los operadores proporcionan conectividad entre terminales y su equivalente en italiano WiFi Aeroportuale.

Capa 5: Analíticas, monitorización y mejora continua

La seguridad no es una implementación única; requiere una monitorización continua y una mejora iterativa. La plataforma de WiFi analíticas de Purple proporciona la capa de visibilidad operativa que transforma los datos de conexión brutos en inteligencia accionable. Al monitorizar los patrones de conexión de los dispositivos, los tiempos de permanencia y las anomalías en las sesiones, los equipos de operaciones de red pueden identificar indicadores de compromiso, como picos de conexión inusuales, dispositivos que se conectan desde ubicaciones físicas inesperadas o patrones de fallos de autenticación que sugieren un ataque de escaneo.

La capa de analíticas también proporciona una justificación comercial para las inversiones en seguridad. Unas tasas de aceptación de pasajeros más elevadas, impulsadas por una experiencia de incorporación segura y de confianza, generan conjuntos de datos de origen (first-party) más ricos. Estos datos permiten realizar marketing segmentado, analíticas de afluencia en tiendas y la optimización de la distribución de las terminales, lo que ofrece un ROI medible sobre las inversiones en infraestructura. Para entornos del sector de la salud que gestionan el WiFi en instalaciones médicas de aeropuertos, se aplica el mismo marco analítico, con controles de datos adicionales de categorías especiales de la GDPR.

Buenas prácticas y mitigación de riesgos

Aplique políticas de red para inquilinos minoristas a nivel técnico. Los documentos de políticas no son suficientes. A las concesiones minoristas se les debe proporcionar un acceso de red gestionado y segmentado - una VLAN dedicada con acceso a internet y sin enrutamiento interno - y los puertos de red físicos de sus unidades deben configurarse mediante autenticación de puertos 802.1X o listas de permitidos de direcciones MAC para rechazar hardware no autorizado. Elimine el incentivo para implementar AP no autorizados ofreciendo una conectividad gestionada y adecuada.

Realice encuestas de cobertura de radiofrecuencia (RF) periódicas. Las encuestas físicas y de RF trimestrales detectan el hardware no autorizado que el WIPS podría haber pasado por alto debido a la atenuación de la señal, obstrucciones físicas o blindaje de RF intencionado. Una encuesta debe cubrir todas las terminales, salas VIP, unidades minoristas y áreas de back-office. Documente el inventario de AP autorizados y compárelo con los resultados de la encuesta.

Implemente una línea dedicada o una conexión a internet empresarial dedicada para la infraestructura crítica. Como se analiza en nuestra guía sobre ¿Qué es una línea dedicada? Internet empresarial dedicado, separar el tráfico operativo crítico en una conexión dedicada y sin congestión garantiza que ningún ataque DDoS o evento de agotamiento del ancho de banda en la red de invitados pueda afectar a los sistemas de operaciones del lado aire (airside).Pruebe los procedimientos de respuesta ante incidentes. Lleve a cabo ejercicios de simulación teórica recreando un evento de detección de Evil Twin. Verifique que la contención de WIPS funciona correctamente, que el equipo del NOC conoce los procedimientos de escalado y que las comunicaciones dirigidas a los pasajeros están preparadas para un escenario en el que sea necesario suspender temporalmente la red de invitados.

ROI e impacto empresarial

Proteger la red es la base del valor comercial, no un centro de costes aislado. Una red WiFi para invitados segura, fiable y de confianza aumenta directamente las tasas de suscripción de los pasajeros en el Captive Portal. Unas tasas de suscripción más altas generan conjuntos de datos de primera mano más amplios y de mayor calidad. Estos datos permiten al operador del aeropuerto ofrecer promociones comerciales personalizadas, optimizar el diseño de las terminales basándose en datos reales de afluencia de personas y crear programas de fidelización que impulsen una interacción continua.

El coste de un incidente de seguridad (acciones de ejecución de la GDPR, daños a la reputación y los costes operativos de la respuesta ante incidentes) supera con creces el coste de desplegar los controles de seguridad descritos en esta guía. La Oficina del Comisionado de Información del Reino Unido (ICO) ha impuesto multas de hasta 17,5 millones de libras esterlinas bajo la UK GDPR por fallos en la protección de datos. Para un gran aeropuerto internacional que procesa millones de conexiones de pasajeros al año, la exposición al riesgo es muy significativa.

La plataforma de Purple está diseñada para alinear la inversión en seguridad con los resultados comerciales. El Captive Portal seguro, la captura de datos que cumple con la GDPR y la capa de análisis se ofrecen en un único despliegue integrado, no como tres procesos de contratación independientes. Esto reduce el coste total de propiedad al tiempo que acelera el tiempo de obtención de valor para los equipos de IT y marketing.