Los ataques al tráfico de red se dividen en dos grupos muy claros, y esa distinción es más útil que cualquier lista: los que actúan a lo largo del recorrido y los que actúan en los extremos.
Una VPN cubre el recorrido. No cubre los extremos, y los extremos son tu dispositivo y el sitio con el que te estás comunicando.
Este contenido profundiza en la recomendación VPN para el tráfico confidencial.
Grupo 1 — Ataques al tráfico de red a lo largo del recorrido
Son las técnicas que exigen estar situado entre tú y el destino. La VPN las neutraliza porque traslada el punto de salida del tráfico.
La observación de los destinos
Cómo funciona. Quien gestiona la red, o el proveedor de acceso a internet, registra con qué servicios te comunicas, cuándo y durante cuánto tiempo.
Qué consigue. Un perfil de tus hábitos, sin leer ningún contenido.
Qué hace la VPN. La frena frente a ese observador, que solo ve un flujo hacia el servidor. Pero la traslada al proveedor de la VPN, que tiene toda esa información.
El análisis de las consultas de resolución de nombres
Cómo funciona. Las consultas que traducen los nombres de los sitios en direcciones (el DNS) suelen ir separadas del resto del tráfico y, históricamente, sin cifrar. Quien las observa tiene la lista completa de destinos.
Qué hace la VPN. Las mete dentro del túnel, si está bien configurada. Es la fuga que comprueban las páginas de verificación.
El bloqueo o la ralentización selectiva
Cómo funciona. Quien controla la red identifica los destinos y aplica limitaciones.
Qué hace la VPN. Vuelve invisibles los destinos, así que el bloqueo selectivo se complica. Sigue siendo posible bloquear el servidor VPN en su conjunto.
La interposición
Cómo funciona. Son las técnicas descritas en la unidad sobre la interceptación del tráfico: red falsa, desvío del destino, escucha pasiva.
Qué hace la VPN. El tráfico que va dentro del túnel sigue siendo ilegible e imposible de modificar aunque alguien se interponga. Pero el túnel se establece después de conectarse a la red, así que la red falsa sigue siendo la puerta de entrada, y el portal de acceso queda sin cubrir.
Grupo 2 — En los extremos
Son las técnicas sobre las que una VPN no tiene ningún efecto, y son la mayoría de las que afectan a las personas.
El phishing
Qué hace. Te convence para que entregues tus credenciales a un sitio que imita al auténtico.
Por qué la VPN no ayuda. El túnel entrega tus datos al sitio fraudulento de forma perfectamente segura. Al cifrado le da igual quién sea el destinatario.
Es la amenaza más extendida de todas, y frente a ella la VPN es irrelevante.
El software no deseado en el dispositivo
Qué hace. Captura lo que escribes, o lee los contenidos antes de que se cifren.
Por qué la VPN no ayuda. Actúa antes del túnel, en el propio dispositivo. El túnel transporta con total fidelidad también el tráfico que genera un programa no deseado.
El rastreo a través de la cuenta
Qué hace. Los servicios en los que inicias sesión con tus credenciales saben quién eres, te conectes desde donde te conectes.
Por qué la VPN no ayuda. Cambia la dirección de procedencia, no la identidad que declaras. Si inicias sesión en tu cuenta, eres tú.
Qué hace. El conjunto de características técnicas del navegador (su «huella digital») permite reconocerlo de una visita a otra.
Por qué la VPN no ayuda. Esas características viajan dentro del túnel y llegan intactas.
Las estafas
Qué hacen. Convencen a una persona para que haga algo: un pago, una comunicación, una instalación.
Por qué la VPN no ayuda. No hay nada técnico que frenar. La acción la haces tú.
El resumen que importa
| Amenaza | ¿Ayuda la VPN? | Qué ayuda de verdad |
|---|---|---|
| Observación de los destinos | Sí | La VPN, bien elegida |
| Análisis de la resolución de nombres | Sí, si está configurada | La VPN con la protección activada |
| Bloqueo selectivo | Sí | La VPN |
| Interposición en el tráfico | El contenido ya estaba protegido | HTTPS; la VPN añade poco |
| Phishing | No | Comprobar el dominio, segundo factor |
| Software no deseado | No | Actualizaciones, permisos de las apps |
| Rastreo a través de la cuenta | No | Separar cuentas y sesiones |
| Reconocimiento del navegador | No | Ajustes del navegador |
| Estafas | No | Concienciación y comprobación |
Las cinco filas con «No» cubren la gran mayoría de los incidentes que les ocurren a las personas. Es el dato más útil de esta unidad, y explica por qué la VPN no es la primera medida que conviene adoptar para casi nadie.
Por qué las amenazas se han desplazado a los extremos
Merece la pena explicar el motivo, porque es la misma dinámica que se ha visto en las unidades anteriores.
Atacar el recorrido exigía antes un esfuerzo modesto y daba un resultado rico: el tráfico iba sin cifrar, y bastaba con estar en la misma red.
Con el cifrado generalizado, esa relación se ha invertido. El recorrido se ha vuelto caro de atacar y pobre en resultados: se obtienen metadatos (con quién hablas y cuándo), no credenciales.
Los extremos, en cambio, siguen igual:
| Extremo | Por qué sigue siendo accesible |
|---|---|
| El dispositivo | Allí los datos están sin cifrar, antes y después del cifrado |
| La persona | Ninguna tecnología impide responder a una petición |
| El sitio de destino | Recibe los datos en claro después de descifrarlos |
La fila central es la que más cuenta: quien quiere credenciales hoy no las intercepta, las pide. Es más barato, funciona a una escala mucho mayor y no exige ninguna proximidad.
De ahí sale la consecuencia que orienta toda esta serie: las herramientas técnicas han resuelto casi por completo las amenazas técnicas. Lo que queda se afronta con competencias y hábitos: comprobar un dominio, no entregar credenciales, reconocer una petición anómala.
Una VPN es una herramienta técnica para un problema técnico residual. Es útil para quien tiene ese problema; no sustituye a ninguna de las competencias que cubren todo lo demás.
El riesgo añadido: el propio proveedor
Hay que decirlo, porque es específico de esta recomendación.
Adoptar una VPN introduce una entidad nueva en la cadena, con visibilidad completa sobre quién eres y adónde vas. Si esa entidad no es de fiar, la medida no reduce la exposición: la concentra.
Las formas en que esto se manifiesta:
La reventa de datos, típica de los servicios gratuitos, en los que el tráfico es el producto.
Las aplicaciones con funciones no declaradas, un riesgo real con los servicios menos conocidos, porque para funcionar una VPN necesita permisos muy amplios en el dispositivo.
La intrusión en la infraestructura del proveedor, que deja expuesto el tráfico de todos sus usuarios a la vez.
Las solicitudes de las autoridades, que dependen de la jurisdicción del proveedor.
Ninguno de estos riesgos existe si no usas una VPN. Por eso adoptarla es una decisión, no una precaución genérica.
Las técnicas frente a las que ninguna herramienta ayuda
Hay un grupo que merece mención aparte, porque no encaja en ninguna de las dos categorías anteriores: las técnicas que actúan sobre la persona.
La petición urgente. Un mensaje que pide una acción inmediata (un pago, una confirmación, un código) aprovechando la presión del tiempo. Ningún cifrado interviene, porque no hay nada que cifrar: hay una decisión que tomar.
La suplantación. Alguien que se presenta como un compañero de trabajo, un proveedor o un servicio técnico. El canal puede ser perfectamente seguro: es el interlocutor quien no es quien dice ser.
La petición del código de verificación. El caso en que el segundo factor se elude no de forma técnica, sino pidiéndole a la persona que lo comunique. Funciona porque el código llega de verdad, y por eso la petición parece coherente.
La presión de la autoridad. Un mensaje que se presenta como si viniera de un organismo oficial, con un tono que desanima a comprobarlo.
Estas técnicas tienen algo en común: la protección es la comprobación, no la herramienta. Detenerse, volver a contactar con el interlocutor por un canal que conoces, no dar códigos a nadie.
Es la razón por la que, en toda esta serie, las competencias cuentan tanto como las configuraciones, y por la que ninguna de las siete medidas que se enumeran a continuación basta por sí sola.
Cómo se construye una defensa proporcionada
Juntando las unidades de esta serie, por orden de eficacia frente a lo que ocurre de verdad:
| Prioridad | Medida | Frente a qué |
|---|---|---|
| 1 | Contraseñas únicas + gestor de contraseñas | Brechas en los proveedores, reutilización |
| 2 | Segundo factor | Credenciales robadas |
| 3 | Actualizaciones | Software no deseado |
| 4 | Comprobar el dominio | Phishing |
| 5 | Alertas de acceso | Detección tardía |
| 6 | Configuración de las redes | Redes falsas, reconexiones automáticas |
| 7 | VPN | Observación de los destinos |
La VPN va la última no porque sea inútil, sino porque cubre la única amenaza que las seis anteriores no tocan, y que afecta a una minoría de personas.
Quien tiene motivos concretos para proteger sus destinos la sube en la lista. Para todos los demás, el orden es este.
El caso en que la VPN se convierte en el objetivo
Una consideración que completa el panorama y que vale para quien tiene motivos concretos de confidencialidad.
Una VPN concentra en un único punto el tráfico de muchas personas. Eso tiene un efecto positivo (tu tráfico se mezcla con el de otros, lo que hace más difícil aislarlo) y otro negativo: ese punto es, por definición, interesante.
| Situación | Efecto |
|---|---|
| Muchos usuarios en el mismo servidor | Tu tráfico se distingue menos: positivo |
| Un único punto que lo ve todo | Un solo objetivo en lugar de muchos: negativo |
| Un servidor propio, un solo usuario | El tráfico se puede atribuir por completo a ti |
| Uso ocasional de la VPN | El momento en que la activas es, en sí mismo, una señal |
La última fila es la menos intuitiva y la más útil para quien tiene necesidades reales: activar la protección solo cuando se hace algo delicado indica que se está haciendo algo delicado. El cambio de comportamiento es visible aunque el contenido no lo sea.
Quien tiene motivos concretos la mantiene siempre activada precisamente por eso: no por tener más protección, sino porque una condición constante no produce señales.
Para todos los demás, el uso ocasional está perfectamente bien: si nadie observa tus patrones, no hay ningún patrón que disimular. Entender así los ataques al tráfico de red ayuda a decidir con calma dónde poner primero el esfuerzo.
Conexión con el Framework Cyber Welfare
| Pilar | Aportación de este contenido |
|---|---|
| Concienciación | Distinguir las amenazas a lo largo del recorrido de las que actúan en los extremos |
| Competencias | Saber cuáles son las cinco amenazas comunes que la VPN no toca |
| Comportamiento Seguro | Adoptar las medidas por orden de eficacia real |
Nivel de referencia: FL3 — Autónomo.
Resumen
- La VPN cubre el recorrido, no los extremos, y en los extremos es donde ocurre casi todo.
- Phishing, malware, rastreo a través de la cuenta y estafas: la VPN no tiene ningún efecto sobre ellos.
- Adoptarla introduce una entidad nueva con visibilidad completa.
- En una defensa proporcionada va la última, después de seis medidas más eficaces.
Acción inmediata recomendada. Mira la tabla de prioridades y localiza la primera fila que todavía no tienes resuelta. Esa vale más que cualquier suscripción.
Para medir tu nivel en conjunto, puedes hacer la autoevaluación de la resiliencia digital.
Contenidos relacionados
- VPN para el tráfico confidencial: la recomendación de la que nace este contenido
- Cómo funciona una VPN: por qué cubre el recorrido y no los extremos
- Interceptación del tráfico: las técnicas a lo largo del recorrido, en detalle
- Impacto del tráfico sin proteger: lo que la VPN protege de verdad
- Señales de que la VPN no protege: cómo darte cuenta de que el túnel se ha caído
Recursos relacionados
Contenidos breves de la sección Recursos, para quien quiera detenerse en un solo aspecto:
Da el primer paso: el Programa «Protege tu Privacidad Digital» te acompaña gratis, una recomendación cada vez.
