Trabajar en un espacio de coworking
Wi-Fi compartida, vecinos curiosos, desconocidos que hacen preguntas: los riesgos de un espacio de coworking y los reflejos de un empleado.
En 30 segundos
- Dónde ocurre
- En la red Wi-Fi o cableada del espacio, en la cocina, en la recepción, en cualquier sitio donde empiece una conversación.
- Lo que quiere el atacante
- Colocarse entre su equipo e Internet para leer o modificar lo que pasa, o recabar información sobre usted y su empresa a través de la conversación.
- El reflejo
- No dé ninguna información sobre su empresa a alguien de quien no sabe si tiene derecho a recibirla, y verifique su identidad por un canal que elija usted mismo.
- Si ya ha ocurrido
- Avise enseguida a los responsables de seguridad de su organización y cambie después las contraseñas afectadas.
De qué se trata
En un espacio de coworking, un empleado comparte sala, conexión y a veces mesa con personas a las que no conoce. Sus vecinos cambian de un día para otro, y nada indica quién trabaja para quién.
Esta ficha describe lo que dicen las fuentes citadas aquí sobre las situaciones que se dan en esos espacios: una red Wi-Fi que otros pueden imitar, un dispositivo conectado a la red, un desconocido que hace preguntas. Esas fuentes no tratan ni los filtros de privacidad, ni las taquillas, ni la VPN, así que la ficha no dice nada concreto sobre ellos.
Preguntas directas
¿Por qué cambia el riesgo en un coworking?
Porque el entorno es compartido. La red no es la de su empresa, las personas que le rodean no son compañeros y un visitante no llama la atención. Las fuentes citadas aquí describen técnicas generales (interceptación del tráfico, incorporación de hardware, ingeniería social) que encuentran en ese escenario un terreno fácil.
¿Qué puede hacer alguien que se interpone en la red?
MITRE describe la técnica del adversario en el medio: el atacante se coloca entre dos dispositivos conectados en red para recopilar información o actuar sobre lo que circula1. Puede interceptar credenciales, incluidos tokens de acceso y cookies de sesión1. Entre las subtécnicas enumeradas, una se llama «Evil Twin»1.
¿Puede un desconocido conectar un dispositivo a la red?
MITRE lo describe: los adversarios pueden introducir físicamente un accesorio, un equipo de red u otro dispositivo en un sistema o una red para acceder a ellos2. Entre las capacidades citadas figura la incorporación de nuevos puntos de acceso inalámbrico a una red existente2. Esa misma página señala que las referencias públicas de uso por atacantes reales son escasas, mientras que muchos equipos de pruebas de intrusión la utilizan para el acceso inicial2.
¿Pueden sacarme información sin hackear nada?
Sí. CISA describe el ataque de ingeniería social como el uso de la relación humana para obtener o comprometer información sobre una organización o sus sistemas3. El atacante puede parecer discreto y respetable, decir que es un empleado nuevo, un técnico de reparaciones o un investigador, e incluso presentar credenciales3.
¿Qué hago si creo que he dado información sensible?
CISA aconseja comunicarlo a las personas competentes de la organización, entre ellas los administradores de red, que podrán vigilar la actividad inusual3. También hay que cambiar sin demora las contraseñas reveladas, y las de todas las cuentas en las que se haya usado la misma3.
1Cómo funciona2 min
En un espacio compartido se mezclan dos familias de riesgos: las que pasan por la red y las que pasan por las personas.
En cuanto a la red, MITRE explica que el atacante abusa de funciones de protocolos habituales, como ARP o DNS, para obligar a un dispositivo a comunicarse a través de un sistema que él controla1. También puede modificar la configuración DNS de una víctima para desviarla de sitios legítimos o enviarle software malicioso1. Otra vía consiste en negociar una versión más débil de un protocolo de comunicación o de un algoritmo de cifrado1.
El hardware conectado también forma parte del cuadro. El grupo DarkVishnya, citado por MITRE, conectó físicamente un Bash Bunny, una Raspberry Pi, netbooks y portátiles baratos al entorno de la organización objetivo para llegar a su red local2.
En cuanto a las personas, la recopilación de información tiene nombre: MITRE habla de phishing para obtener información, cuyo objetivo es reunir datos de la víctima en lugar de ejecutar código malicioso4. Se realiza por correo electrónico, mensajería instantánea u otros intercambios, y también puede dirigir a la víctima a un número de teléfono donde el atacante intenta obtener información confidencial4. El atacante suele hacerse pasar por una fuente que tiene motivos para preguntar, y a veces multiplica los mensajes de apariencia urgente4.
CISA añade un mecanismo que el coworking favorece: si el atacante no obtiene suficiente información de una persona, contacta con otra de la misma organización y se apoya en lo que dijo la primera para parecer creíble3. Una respuesta inocente dada junto a la máquina de café puede servir, por tanto, de apoyo para la pregunta siguiente.
2Lo que usted hace1 min
- Verifique la identidad de cualquier persona que diga venir de una organización legítima, directamente con esa organización3.
- Desconfíe de las llamadas, visitas o mensajes no solicitados que versen sobre los empleados o sobre información interna3.
- No dé información personal ni información sobre su empresa, incluidas su estructura o sus redes, salvo que tenga la certeza de que la persona tiene derecho a recibirla3.
- Tome en serio los errores de certificado: MITRE recomienda formar a los usuarios para que desconfíen de ellos, porque un atacante puede usar sus propios certificados para interceptar tráfico HTTPS1.
- Compruebe que la dirección de un sitio empieza por «https» y no por «http» antes de enviarle información sensible3.
- Active la autenticación multifactor: con un segundo factor, un atacante no puede acceder a una cuenta solo con la contraseña robada6.
- Si un mensaje le parece sospechoso, no haga clic en ningún enlace ni llame a ningún número que contenga. Busque otra forma de contactar con la empresa o la persona, por ejemplo su sitio web oficial5.
- Comunique el incidente, aunque haya hecho clic: el NCSC precisa que saberlo antes permite limitar los daños, y que los usuarios deben conocer de antemano el modo de comunicarlo, porque su dispositivo comprometido puede dejarles sin los medios de comunicación habituales6.
3Las trampas1 min
La primera trampa es la cortesía. Un desconocido puede parecer amable y legítimo, y CISA señala que incluso puede presentar credenciales que respalden su identidad3. Una acreditación o un nombre mencionado no prueban, por tanto, nada.
La segunda es la urgencia. Entre las señales de phishing, CISA cita un lenguaje apremiante o emocional, que anuncia consecuencias graves si no se responde de inmediato5. Añade que las faltas de ortografía ya no son una señal fiable, porque algunos correos tienen ahora una gramática perfecta5.
La tercera es la dirección falsa. Una dirección de remitente puede imitar la de una empresa modificando u omitiendo algunos caracteres3, y CISA pone el ejemplo de una dirección como «amazan.com»5. La suplantación del remitente puede engañar tanto a las personas como a las herramientas automáticas4.
La cuarta es el contacto por otro canal. Una llamada puede pasar por voz sobre IP, que permite falsificar con facilidad la identidad de quien llama3. Un número que aparece en pantalla no basta, por tanto, para confirmar quién es el interlocutor.
Por último, el miedo a la sanción frena la comunicación de incidentes. El NCSC indica que los usuarios que temen represalias no comunican sus errores a tiempo, o no los comunican en absoluto6.
Ficha
- Identificador
- CP-543
- Ala
- 5. Vida en la oficina y reflejos
- Competencia Brain
- Frenar la ingeniería social (outsmart_social_engineering)
- Reflejo Brain
- cr-048
- Esquema
- G5 · Árbol de decisión del reflejo
- Idiomas
- de, en, es, fr
- Fuentes
- 6 fuentes verificadas el 3 de noviembre de 2026
Fuentes6 fuentes
- MITRE ATT&CK, «Adversary-in-the-Middle, Technique T1557 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1557/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado el 3 de noviembre de 2026)
- CISA, «Avoiding Social Engineering and Phishing Attacks», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado el 3 de noviembre de 2026)
- CISA, «Recognize and Report Phishing». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de febrero de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Trabajar en un espacio de coworking», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp543_es_2026,
author = {Brain},
title = {Trabajar en un espacio de coworking},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/trabajar-en-coworking/},
note = {CC BY 4.0}
}