Portales cautivos de hoteles: cómo las páginas de inicio de sesión de Wi-Fi se convirtieron en un canal publicitario y riesgo de seguridad

Portales cautivos en hoteles: cómo las páginas de inicio de sesión de Wi-Fi se convirtieron en canal publicitario y riesgo de seguridad

Un artículo publicado por The Next Web en junio de 2026 describe cómo las páginas de autorización de Wi-Fi para huéspedes en hoteles — los llamados portales cautivos — se han transformado de una simple puerta de acceso técnica a la red en un canal oculto para la recopilación de datos y la visualización de publicidad.

Cómo funciona un portal cautivo

El mecanismo es familiar para cualquiera que alguna vez se hospedó en un hotel con Wi-Fi gratuito: una computadora portátil se conecta a la red del hotel, y en lugar de internet normal, el navegador abre automáticamente una página de autorización donde debe ingresar su número de habitación, apellido y aceptar los términos de uso. Solo después de eso el dispositivo obtiene acceso completo a la red. Esta tecnología — portal cautivo — ha sido utilizada durante décadas por hoteles, aeropuertos, cafés y centros empresariales de oficinas para controlar el acceso de huéspedes a la red y diferenciar planes tarifarios de acceso.

Por qué se convirtió en canal publicitario y riesgo de seguridad

El portal cautivo ocupa una posición privilegiada en el tráfico de red: antes de que un dispositivo obtenga acceso completo a internet, todo su tráfico pasa a través de la página de autorización. Esto lo convierte en un punto conveniente para incrustar rastreadores, mostrar anuncios y recopilar datos sobre el dispositivo, navegador y geolocalización — a menudo sin notificación explícita al huésped sobre el alcance de la recopilación o a quién se transmiten los datos. La misma posición privilegiada en la red es explotada activamente por actores maliciosos: puntos de acceso falsos que imitan el portal cautivo de un hotel (ataque evil twin) permiten interceptar nombres de usuario, contraseñas y datos de tarjetas de crédito antes de que la víctima ni siquiera note la sustitución de red.

Quién gana dinero con el Wi-Fi para huéspedes de hoteles

Muchos hoteles no construyen su propia infraestructura de Wi-Fi para huéspedes, sino que la externalizan a proveedores especializados de soluciones de red que sirven a cientos de instalaciones de alojamiento simultáneamente. Tales proveedores a menudo monetizan la página de autorización en sí mediante la visualización de publicidad, ofertas de socios, pancatas de patrocinio de agencias de viajes y servicios de taxi, o la transmisión de datos anonimizados a redes publicitarias — convirtiendo el acceso a internet formalmente gratuito en una fuente de ingresos adicional para el hotel y su contratista.

Un punto de acceso abierto en una cafetería sin autorización, aunque ofrece menos control, al menos no crea la ilusión de ser controlado: un huésped entiende que se está conectando a una red compartida junto con otros visitantes. El portal cautivo, por otro lado, crea una apariencia de legitimidad y seguridad — una solicitud de datos personales como número de habitación y apellido se percibe como una formalidad del hotel en lugar de recopilación de datos por parte de un proveedor de red tercero, lo que reduce la vigilancia incluso en usuarios precavidos.

La lógica similar se aplica en aeropuertos y centros empresariales: cuanto más oficial parezca la página de inicio de sesión — con el logo del lugar, texto legal de términos de uso y colores corporativos — menos razones tienen los usuarios para sospechar que representa la administración de la instalación en lugar de un contratista tercero con sus propios intereses comerciales.

Qué significa esto

Al conectarse a Wi-Fi gratuito en un hotel, los huéspedes rara vez consideran que la página de inicio de sesión puede ser simultáneamente un punto de recopilación de datos para redes publicitarias y un posible punto de entrada de ataque — los portales cautivos de hotel deben tratarse con la misma precaución que cualquier otra red pública desconocida, especialmente cuando se trabaja con datos sensibles o correo electrónico corporativo.