Captive portal en hoteles: cómo la página de acceso al Wi-Fi se convirtió en un canal publicitario y en un riesgo

En un artículo publicado en junio de 2026, The Next Web describe cómo las páginas de autenticación del Wi-Fi para huéspedes de los hoteles, los llamados captive portal, han pasado de ser una simple pasarela técnica de acceso a convertirse en un canal oculto de recogida de datos y de publicidad.

Cómo funciona un captive portal

Cualquiera que se haya alojado en un hotel con Wi-Fi gratuito conoce el mecanismo: el portátil se conecta a la red del hotel y, en lugar de cargar internet con normalidad, el navegador abre automáticamente una página de autenticación. Allí hay que indicar el número de habitación y el apellido, y aceptar las condiciones de uso. Solo después el dispositivo obtiene acceso completo a la red. Hoteles, aeropuertos, cafeterías y centros de negocios llevan décadas usando esta tecnología, el captive portal, para controlar el acceso de sus visitantes a la red y diferenciar planes de acceso.

Por qué se ha convertido en un canal publicitario y en un riesgo de seguridad

El captive portal ocupa una posición privilegiada en el tráfico de red: antes de que el dispositivo obtenga acceso completo a internet, todo su tráfico pasa por la página de autenticación. Eso la convierte en un punto idóneo para insertar rastreadores, mostrar anuncios y recopilar datos sobre el dispositivo, el navegador y la geolocalización, a menudo sin informar claramente al huésped del alcance de esa recogida ni de a quién se ceden después los datos. Los atacantes también explotan activamente esa misma posición: los puntos de acceso falsos que imitan el captive portal de un hotel (ataques de tipo evil twin) permiten interceptar usuarios, contraseñas y datos de tarjetas bancarias antes de que la víctima se dé cuenta de que la red ha sido suplantada.

Quién gana dinero con el Wi-Fi de los hoteles

Muchos hoteles no construyen por su cuenta la infraestructura de Wi-Fi para huéspedes. La externalizan a proveedores especializados en soluciones de red que dan servicio a cientos de alojamientos a la vez. Con frecuencia, estos proveedores monetizan la propia página de acceso mediante anuncios, ofertas de afiliados, banners patrocinados de agencias de viajes y servicios de taxi, o la cesión de datos anonimizados a redes publicitarias. Así, un acceso a internet formalmente gratuito se convierte en una fuente de ingresos adicional para el hotel y su contratista.

Un punto de acceso abierto sin autenticación en una cafetería, al menos, no crea una ilusión de control: el cliente sabe que se conecta a una red compartida con el resto de visitantes. El captive portal, en cambio, transmite una apariencia de legitimidad y seguridad. El huésped percibe la petición de datos personales, como el número de habitación y el apellido, como un trámite del hotel y no como una recogida de información por parte de un proveedor de red externo, lo que rebaja la guardia incluso de los usuarios más prudentes.

La misma lógica se aplica en aeropuertos y centros de negocios: cuanto más oficial parece la página de acceso, con el logotipo del establecimiento, el texto legal de las condiciones de uso y los colores corporativos, menos motivos tiene el usuario para sospechar que detrás no está la administración del lugar, sino un contratista externo con sus propios intereses comerciales.

Qué significa esto

Al conectarse al Wi-Fi gratuito de un hotel, los huéspedes rara vez piensan que la página de acceso puede ser a la vez un punto de recogida de datos para redes publicitarias y una posible puerta de entrada para un ataque. Conviene tratar el captive portal con la misma cautela que cualquier otra red pública desconocida, sobre todo al manejar datos sensibles o el correo corporativo.