Lo que realmente protege una VPN (y lo que no)
Una VPN es una de las herramientas de privacidad más recomendadas, y con razón. Pero el marketing en torno a las VPN a menudo promete más de lo que cumple, dejando a los usuarios con una falsa sensación de seguridad. Entender lo que realmente protege una VPN, y dónde deja de ser útil, es auténticamente importante para cualquiera que construya una configuración de seguridad personal.
La versión resumida: una VPN es excelente en un conjunto específico y limitado de tareas. Fuera de esas tareas, no hace casi nada para protegerte de los hackers.
De qué te protege realmente una VPN
Una VPN funciona cifrando tu tráfico de internet y enrutándolo a través de un servidor que oculta tu dirección IP real. Esas dos funciones abordan directamente varias amenazas reales.
La interceptación en redes wifi públicas es el caso de uso más práctico para la mayoría de la gente. Cuando te conectas a una red no segura en una cafetería, aeropuerto u hotel, otros usuarios en la misma red pueden potencialmente interceptar tráfico no cifrado. Una VPN cifra ese tráfico antes de que salga de tu dispositivo, haciéndolo ilegible para cualquiera que espíe en la red local. Esto es menos relevante de lo que solía ser ahora que la mayoría de los sitios web usan HTTPS por defecto, pero aún hay escenarios donde los datos no cifrados pasan por redes públicas.
La exposición de la dirección IP es otra área donde las VPN ofrecen protección real. Tu dirección IP puede revelar tu ubicación física aproximada y, en algunos casos, ser usada para identificarte en distintos servicios. Ocultarla con la IP de un servidor VPN limita lo que anunciantes, sitios web y algunos actores maliciosos pueden inferir sobre ti.
Los ataques DDoS dirigidos son una amenaza menos común pero genuina, particularmente para jugadores, streamers y creadores de contenido. Un ataque de denegación de servicio distribuido inunda la dirección IP del objetivo con tráfico basura para desconectarlo de internet. Si tu IP real está oculta tras un servidor VPN, los atacantes no pueden apuntar a tu conexión real. En su lugar, el servidor VPN absorbe la inundación.
Estas son protecciones reales. Simplemente no son integrales.
Dónde se queda corta una VPN
Una VPN no puede inspeccionar, bloquear ni filtrar lo que decidas hacer con tu conexión. Eso significa que categorías enteras de ataques la eluden por completo.
El phishing es quizás la brecha más importante. Si haces clic en un enlace malicioso en un correo electrónico e introduces tus credenciales en una página de inicio de sesión falsa, una VPN no hace nada para detenerlo. El túnel cifrado te lleva fielmente al sitio fraudulento. El ataque tiene éxito de todos modos.
El malware funciona de la misma manera. Si descargas y ejecutas un archivo malicioso, tu VPN no tiene ningún mecanismo para detectarlo o bloquearlo. El malware opera en la capa de aplicación, muy por encima de la protección a nivel de red que proporciona una VPN.
El compromiso de cuentas mediante relleno de credenciales, reutilización de contraseñas o secuestro de sesión tampoco se ve afectado. Si un atacante obtiene tu nombre de usuario y contraseña de una base de datos vulnerada, puede iniciar sesión en tus cuentas desde cualquier lugar. Tu VPN no protege esas credenciales.
Los exploits de día cero dirigidos a tu navegador, sistema operativo o aplicaciones no tienen nada que ver con tu dirección IP ni con el cifrado del tráfico de red. Explotan vulnerabilidades en el propio software.
Este patrón se extiende también a las amenazas sofisticadas. Como se analiza en el reciente análisis de los ataques APT estatales de Singapur, los actores de amenazas persistentes avanzadas utilizan técnicas como el spear phishing, el compromiso de la cadena de suministro y la explotación de endpoints para las que una VPN simplemente no fue diseñada. Los adversarios a nivel de estado nación no necesitan interceptar tu tráfico wifi.
El conjunto complementario de seguridad
Dado que una VPN cubre las amenazas de la capa de red y casi nada más, una seguridad seria exige superponer herramientas adicionales.
Un gestor de contraseñas con contraseñas únicas y generadas aleatoriamente por cuenta neutraliza los ataques de relleno de credenciales. La reutilización de contraseñas es uno de los vectores más comunes de compromiso de cuentas, algo que ninguna VPN aborda.
La autenticación multifactor (MFA) añade una segunda barrera incluso si las credenciales son robadas. Las llaves de seguridad de hardware ofrecen la forma más fuerte de MFA, aunque las aplicaciones de autenticación suponen una mejora significativa frente a los códigos basados en SMS.
El software de protección de endpoints maneja el malware, el ransomware y algunos intentos de explotación a nivel de dispositivo. Combinado con mantener el sistema operativo y las aplicaciones actualizados y al día, esto aborda la superficie de vulnerabilidades de software que las VPN no pueden tocar.
Los hábitos de correo electrónico resistentes al phishing y las extensiones del navegador que señalan las URL sospechosas reducen la efectividad de los ataques de ingeniería social. Entrenarte para analizar los enlaces antes de hacer clic es, sin glamour, una de las medidas de seguridad más efectivas disponibles.
Vale la pena señalar que incluso las aplicaciones de mensajería cifrada no son inmunes a la vulneración a nivel de usuario. Un desglose reciente de por qué los usuarios de Signal están siendo hackeados a pesar del fuerte cifrado de la app ilustra claramente el punto: los atacantes apuntan a la persona, al dispositivo o a la configuración de la cuenta, en lugar de al protocolo de cifrado en sí. Una VPN tampoco habría ayudado en esos casos.
Un marco práctico de casos de uso
En lugar de preguntarte si deberías usar una VPN, la mejor pregunta es cuándo ayuda y cuándo necesitas recurrir a otra cosa.
Usa tu VPN cuando te conectes a redes wifi públicas o no confiables, cuando quieras limitar el rastreo y la elaboración de perfiles basados en la IP, cuando tu dirección IP real podría exponer tu ubicación física a un tercero hostil, o cuando quieras reducir el riesgo de ataques DDoS dirigidos en juegos o emisiones en directo.
Recurre a otras herramientas cuando estés evaluando un enlace de correo electrónico antes de hacer clic (usa un escáner de enlaces o simplemente navega directamente al sitio), cuando estés comprobando si tus cuentas son seguras (usa un gestor de contraseñas y activa la MFA), cuando quieras protección contra el malware (usa un software de seguridad de endpoints y mantén los sistemas actualizados), o cuando estés lidiando con un ataque dirigido por parte de un adversario sofisticado que ya te ha identificado como objetivo.
Lo que esto significa para ti
Una VPN es una herramienta útil y legítima. Pertenece a una configuración de seguridad personal, pero no debería ser lo único en esa configuración, y no se debe esperar que haga trabajos para los que nunca fue diseñada.
Las amenazas que causan el mayor daño en el mundo real —phishing, malware, robo de cuentas y explotación dirigida— operan por encima de la capa de red. El cifrado y el enmascaramiento de IP de una VPN son irrelevantes para todas ellas.
El enfoque más eficaz es uno en capas: usa una VPN para los escenarios específicos donde ayuda, y usa herramientas diseñadas para las amenazas que no puede abordar. Entender qué herramienta maneja cada amenaza es la base de una postura de seguridad que realmente resiste bajo presión. Explorar escenarios concretos de ataques en el mundo real es un buen siguiente paso para poner ese marco en práctica.
