02/03/2026 20:19 - Tecnologia
Durante años, los expertos en ciberseguridad recomendaron crear redes WiFi separadas para invitados como medida de protección. Esta práctica, considerada casi un estándar de seguridad básico, acaba de recibir un duro golpe: un grupo de investigadores ha demostrado que ese aislamiento puede ser roto con relativa facilidad.
AirSnitch es el nombre que han dado los investigadores de la Universidad de California, Riverside y la KU Leuven de Bélgica a un conjunto de técnicas que explotan vulnerabilidades en la implementación del aislamiento de clientes en routers WiFi. El hallazgo fue presentado en el Network and Distributed System Security (NDSS) Symposium 2026.
El ataque funciona incluso cuando el router tiene activado cifrado WPA2 o WPA3, los protocolos de seguridad más avanzados disponibles actualmente. No se trata de romper contraseñas, sino de aprovechar cómo los propios routers gestionan las conexiones internas.
Xin'an Zhou, uno de los autores del estudio, declaró a Ars Technica que AirSnitch "rompe el cifrado WiFi en todo el mundo y podría permitir ciberataques avanzados". La investigación, según Zhou, "pincha físicamente el cable por completo" para que estos ataques funcionen.
El aislamiento de clientes (client isolation) es una función que debería impedir que dos dispositivos conectados a la misma red WiFi puedan comunicarse directamente entre sí. Sin embargo, no forma parte de un estándar único, y cada fabricante lo implementa a su manera.
Los investigadores probaron las técnicas de AirSnitch en 12 dispositivos diferentes, desde routers domésticos hasta equipos profesionales. Todos resultaron vulnerables a algún tipo de ataque:
| Dispositivo | Tipo | Firmware |
|---|---|---|
| Netgear Nighthawk X6 R8000 | Doméstico | V1.0.4.84 |
| Tenda RX2 Pro | Doméstico | V16.03.30.14 |
| D-Link DIR-3040 | Doméstico | 1.13 |
| TP-Link Archer AXE75 | Doméstico | 1.1.8 Build 20230718 |
| Asus RT-AX57 | Doméstico | 3.0.0.4.386 52332 |
| DD-WRT | Firmware alternativo | v3.0-r44715 |
| OpenWrt | Firmware alternativo | 24.10 |
| Ubiquiti AmpliFi Alien Router | Profesional | v4.0.8 |
| Ubiquiti AmpliFi Router HD | Profesional | v4.0.3 |
| Cisco Catalyst 9130 | Empresarial | iOS XE 17.2.1.11 |
| LANCOM LX-6500 | Empresarial | 6.00.0085 |
| TP-Link EAP613 | Profesional | Para redes complejas |
? Nota importante: El código de demostración ya ha sido publicado en un repositorio público, lo que significa que las herramientas para explotar estas vulnerabilidades están disponibles y podrían ser incorporadas rápidamente a suites de ciberataques.
El escenario más peligroso se da en redes públicas o compartidas por muchas personas: cafeterías, aeropuertos, hoteles, espacios de coworking. En estos entornos, cualquier usuario que conozca la contraseña puede conectarse y, si el punto de acceso es vulnerable, explotar el fallo contra otros clientes.
En una red doméstica, el impacto es más limitado porque el atacante necesita conocer la contraseña para entrar primero. Es decir, tendría que ser uno de tus invitados, no alguien externo.
La Wi-Fi Alliance, la entidad que otorga certificaciones de compatibilidad con el estándar WiFi, ya ha comenzado a trabajar en la estandarización del aislamiento de clientes. El objetivo es que deje de ser una característica que cada fabricante implementa a su manera y se exija un protocolo que la haga realmente segura.
Mientras tanto, los expertos recomiendan utilizar VLANs (Virtual LANs) para segmentar redes de forma más efectiva, aunque esta es una característica que no todos los routers domésticos soportan.
El aislamiento de clientes en redes WiFi de invitados pasa a unirse a otras técnicas de seguridad que resultaron ser ineficaces, como el bloqueo por direcciones MAC. Una contraseña WiFi nunca fue garantía de seguridad, y ahora sabemos que tampoco lo es la separación en redes de invitados. La vigilancia y las actualizaciones constantes siguen siendo las mejores defensas.
Alfredo S. Quiroga
