La WiFi de una empresa es, en muchos casos, la puerta de entrada más fácil a todos sus datos. Nadie necesita entrar en la oficina: basta con aparcar delante. Y sin embargo es habitual encontrar routers del operador con la contraseña de fábrica, clientes y empleados conectados a la misma red que el servidor, o puntos de acceso sin actualizar desde que se instalaron. Esta guía recoge lo que revisamos cuando una empresa nos pide asegurar su red, en orden de importancia.

¿Por qué la WiFi de tu empresa es un riesgo?

Cuando alguien se conecta a tu WiFi está, en la práctica, dentro de tu oficina: ve las carpetas compartidas, la impresora, el NAS con las copias de seguridad, el servidor del programa de gestión y los equipos de los compañeros. Si la red no está separada, un portátil infectado de un visitante o un móvil de un empleado con una app maliciosa tiene el mismo acceso que tu propio ordenador. Y una contraseña WiFi se comparte con una facilidad asombrosa: «te la paso por WhatsApp», y a partir de ahí nadie sabe quién la tiene.

1. Cambia lo que viene de fábrica

El router del operador llega con un nombre de red (SSID) que identifica al operador y al modelo, y una contraseña impresa en una pegatina. Ambas cosas son públicas: existen listas de contraseñas por defecto por modelo, y la pegatina la ha visto cualquiera que haya pasado por la oficina.

  • Cambia el nombre de la red por uno que no identifique ni al operador ni al modelo (ni a la empresa, si no es necesario).
  • Cambia la contraseña WiFi por una frase larga (mínimo 16 caracteres).
  • Cambia también la contraseña de administración del router, que es la que de verdad importa: con ella se puede redirigir todo tu tráfico.
  • Desactiva WPS: el botón de «conectar sin contraseña» tiene vulnerabilidades conocidas desde hace años.

2. Cifrado: WPA3 o, como mínimo, WPA2-AES

Si en la configuración ves WEP o WPA (a secas), cámbialo hoy: se rompen en minutos. WPA2 con cifrado AES es el mínimo aceptable; WPA3 es el estándar actual y todos los equipos de los últimos cinco años lo soportan. La mayoría de routers permiten un modo mixto WPA2/WPA3 para no dejar fuera a dispositivos antiguos (impresoras, TPV, cámaras).

3. Red de invitados separada: la medida que más vale

Si solo haces una cosa de esta lista, que sea esta. Una red de invitados aislada permite que clientes, proveedores y los móviles personales de la plantilla tengan internet sin ver nada de la red interna. Casi todos los routers y puntos de acceso actuales la incluyen; es cuestión de activarla y marcar la opción de aislamiento de clientes.

Regla práctica: en la red principal solo van los equipos que gestiona la empresa. Todo lo demás (móviles personales, visitas, la tele de la sala de espera, el altavoz inteligente) va a la de invitados.

4. VLAN: separar lo que no debe tocarse

En empresas con algo más de infraestructura, el siguiente paso es separar por redes virtuales (VLAN): una para puestos de trabajo, otra para servidores y NAS, otra para cámaras y dispositivos «inteligentes», otra para invitados. Así, si un dispositivo cae, el daño queda contenido en su segmento. Requiere switches y puntos de acceso gestionables, pero el coste ha bajado mucho y en una oficina de 10–30 puestos se monta en una jornada.

5. Puntos de acceso profesionales, no «repetidores»

Las naves, los locales con varias plantas y las oficinas con muros gruesos se llenan de repetidores domésticos que duplican el nombre de la red y crean zonas muertas. La solución es un sistema de puntos de acceso gestionados desde una sola consola (Ubiquiti UniFi, TP-Link Omada, MikroTik…), con itinerancia real entre ellos y control de quién se conecta. Además permiten ver en todo momento qué dispositivos hay en la red, algo imposible con un router de operador.

6. Actualizaciones del firmware

Routers y puntos de acceso son ordenadores con su propio software, y tienen vulnerabilidades que se van descubriendo y corrigiendo. Un equipo sin actualizar desde hace tres años es una invitación. Revisa que haya actualizaciones automáticas o inclúyelas en el mantenimiento periódico.

7. Lo que no debería estar abierto a internet

Mientras estás en el router, revisa la sección de reenvío de puertos / DMZ. Es muy habitual encontrar el escritorio remoto (puerto 3389), el NAS o las cámaras expuestos a internet «porque el instalador lo necesitaba». Cada uno de esos puertos recibe miles de intentos de acceso automatizados al día. Si hace falta acceder desde fuera, la forma correcta es una VPN.

Señales de que tu red puede estar comprometida

  • Internet va lento a ratos sin motivo, sobre todo fuera del horario de trabajo.
  • En la lista de dispositivos conectados del router aparecen nombres que nadie reconoce.
  • Avisos de certificados no válidos al entrar en sitios habituales (posible intercepción del tráfico).
  • La configuración del router ha cambiado (DNS distintos, contraseña que ya no funciona).
  • El operador o el proveedor de correo te avisa de actividad sospechosa desde tu IP.

Lista de comprobación rápida

  1. SSID y contraseña de fábrica cambiados; contraseña de administración cambiada; WPS desactivado.
  2. Cifrado WPA3 o WPA2-AES.
  3. Red de invitados activa, aislada, y usada.
  4. Firmware actualizado en router y puntos de acceso.
  5. Sin puertos abiertos hacia internet que no sepas explicar.
  6. Inventario de dispositivos conectados revisado al menos una vez al trimestre.
  7. Contraseña WiFi de la red principal cambiada cuando alguien deja la empresa.

Preguntas frecuentes

¿Es seguro dar la WiFi a los clientes?

Sí, si es la red de invitados aislada y no la principal. Puedes además limitar el ancho de banda y poner un portal con condiciones de uso, útil en hostelería.

¿Ocultar el nombre de la red (SSID) la hace más segura?

No. Se detecta igual con cualquier herramienta y solo complica la conexión a los dispositivos legítimos. La seguridad la dan el cifrado y la contraseña.

¿Filtrar por dirección MAC sirve de algo?

Muy poco: una MAC se clona en segundos. Como inventario de lo que debería estar conectado es útil; como medida de seguridad, no.

¿Cada cuánto cambiar la contraseña WiFi?

Cuando alguien con acceso deja la empresa o se sospecha que se ha compartido. Con red de invitados separada, la contraseña de la principal solo la conocen los equipos de la empresa y apenas hay que tocarla.

¿Necesitas revisar la seguridad de tu red?

Una auditoría básica de red (router, puntos de acceso, segmentación, puertos abiertos y dispositivos conectados) la hacemos en una visita de un par de horas en Almendralejo, Mérida, Badajoz y el resto de Extremadura, con un informe de lo encontrado y lo que conviene corregir, priorizado. Si prefieres empezar por lo básico en remoto, cuéntanos cómo está montada tu red y te decimos por dónde empezar.