Una red Wi-Fi empresarial mal configurada puede convertirse en la puerta de entrada a toda la infraestructura tecnológica de una organización. Sin embargo, muchas empresas siguen utilizando configuraciones por defecto, contraseñas débiles o redes de invitados sin segmentar, convencidas de que este tipo de incidentes sólo afectan a las grandes compañías.
La realidad es muy distinta y hoy cualquier pyme, despacho profesional, comercio, clínica, hotel o empresa industrial depende de su red Wi-Fi corporativa para desarrollar su actividad diaria. Equipos portátiles, teléfonos corporativos, impresoras, cámaras IP, dispositivos IoT o terminales de punto de venta conviven conectados a la misma infraestructura.
Y precisamente por eso, proteger el Wi-Fi de la empresa ya no es una recomendación, sino una necesidad.
Con frecuencia, muchas incidencias de seguridad podrían haberse evitado simplemente aplicando una configuración adecuada desde el primer día. Durante las revisiones de infraestructura es habitual encontrar configuraciones heredadas, dispositivos sin actualizar o redes sin una segmentación adecuada que pueden incrementar innecesariamente la superficie de ataque.
La buena noticia es que muchos de estos riesgos pueden corregirse con una revisión adecuada de la infraestructura. El problema es que algunas organizaciones desconocen que mantienen configuraciones inseguras hasta que sufren un incidente o realizan una auditoría de ciberseguridad.
¿Por qué una red Wi-Fi mal protegida puede convertirse en un riesgo?
Cuando un atacante consigue acceder a una red Wi-Fi corporativa, no solo obtiene conexión a Internet.
Dependiendo de cómo esté configurada la infraestructura, podría acceder a:
- Equipos de empleados.
- Servidores internos.
- Impresoras de red.
- Sistemas de videovigilancia.
- Terminales TPV.
- Dispositivos IoT.
- Información compartida.
- Recursos críticos del negocio.
En otras palabras, una red Wi-Fi insuficientemente protegida puede convertirse en una vía de acceso hacia otros recursos de la organización.
Además, muchas empresas mantienen durante años la misma configuración inicial del router o de los puntos de acceso. Las recomendaciones de NIST para pequeñas empresas inciden precisamente en la necesidad de proteger las redes inalámbricas, modificar las configuraciones predeterminadas y mantener adecuadamente los sistemas utilizados por la organización.
1. Utilizar protocolos Wi-Fi obsoletos
El primer paso consiste en revisar el protocolo de seguridad y cifrado de la red Wi-Fi.
Todavía existen empresas que mantienen redes configuradas con WPA, WPA2-TKIP o incluso WEP, tecnologías que han quedado superadas por estándares de seguridad más actuales.
Siempre que la infraestructura sea compatible, deben priorizarse configuraciones modernas y mecanismos de autenticación adecuados al entorno empresarial. La FTC recoge entre sus recomendaciones de ciberseguridad para pequeñas empresas la necesidad de proteger correctamente las redes inalámbricas y mantener una configuración segura.
En función de las características de la organización pueden utilizarse:
- WPA3, siempre que el hardware sea compatible.
- WPA2 con AES, cuando existan limitaciones de compatibilidad.
- WPA2-Enterprise o WPA3-Enterprise en organizaciones que dispongan de mecanismos de autenticación empresarial como RADIUS.
WPA3 incorpora mejoras de seguridad frente a generaciones anteriores y permite reforzar la protección de las comunicaciones inalámbricas.
Si el equipamiento tiene varios años, también conviene comprobar si continúa siendo compatible con los estándares actuales y si sigue recibiendo soporte del fabricante.
Antes de plantear una renovación completa de la infraestructura, conviene revisar si el equipamiento actual permite mejorar el nivel de protección mediante una configuración adecuada. En muchas organizaciones existe margen de mejora sin necesidad de sustituir todos los dispositivos.
2. Mantener las credenciales por defecto
Puede parecer evidente, pero sigue siendo uno de los errores que deberían comprobarse en cualquier revisión de una red Wi-Fi empresarial.
Routers, firewalls o puntos de acceso pueden conservar usuarios y contraseñas de administración configurados durante su instalación. Si estas credenciales son débiles, compartidas o no han sido modificadas adecuadamente, pueden convertirse en una vía de acceso a la infraestructura.
Las buenas prácticas incluyen:
- Cambiar las credenciales administrativas predeterminadas.
- Utilizar contraseñas largas y únicas.
- Evitar reutilizar las mismas credenciales en diferentes sistemas.
- Almacenar las contraseñas en un gestor corporativo.
- Activar autenticación multifactor cuando la solución utilizada lo permita.
Las recomendaciones de NIST para pequeñas empresas contemplan precisamente la gestión de contraseñas, cuentas y accesos como elementos fundamentales de una estrategia básica de ciberseguridad.
Aunque pueda parecer una medida sencilla, revisar periódicamente las credenciales administrativas es una de las formas más rápidas de reducir el riesgo de accesos no autorizados.
3. No separar la red Wi-Fi de invitados
Uno de los errores más importantes consiste en permitir que clientes, proveedores o visitantes utilicen la misma red que los empleados.
Aunque pueda parecer una solución cómoda, supone un riesgo innecesario.
La red Wi-Fi de invitados debería estar separada de la red corporativa. De este modo, quienes se conecten pueden disponer de acceso a Internet sin necesidad de alcanzar servidores, impresoras, equipos internos u otros recursos de la organización.
Esta separación puede realizarse mediante VLAN, políticas específicas del firewall u otros mecanismos de segmentación.
Por ejemplo, un hotel puede proporcionar conexión a Internet a sus huéspedes sin que estos compartan la misma red lógica que los sistemas utilizados para la gestión interna del establecimiento.
La segmentación y separación de redes es precisamente una de las medidas recomendadas para reducir la exposición de los recursos internos cuando una organización ofrece conectividad inalámbrica a terceros.
Una comprobación de la arquitectura de red permite verificar si la Wi-Fi de invitados está realmente aislada del resto de los sistemas corporativos y detectar configuraciones que podrían haber pasado desapercibidas durante años.
4. No segmentar los dispositivos de la empresa
Una oficina moderna puede tener decenas o incluso cientos de dispositivos conectados:
- Ordenadores.
- Móviles.
- Cámaras IP.
- Impresoras.
- Sistemas de control de acceso.
- Sensores.
- Equipos IoT.
No todos deberían compartir la misma red y utilizando una correcta segmentación de la red empresarial se puede limitar la comunicación entre diferentes grupos de dispositivos y reducir las posibilidades de movimiento lateral si uno de ellos resulta comprometido.
El NIST SP 800-215, Guide to a Secure Enterprise Network Landscape aborda precisamente la protección de las redes empresariales modernas y la aplicación de arquitecturas que reduzcan la exposición entre diferentes recursos.
La filosofía es sencilla e indica que no todos los dispositivos necesitan comunicarse entre sí y se debe separar ordenadores, cámaras IP, impresoras o dispositivos IoT en diferentes segmentos que permitan establecer políticas específicas y contener mejor un posible incidente.
Consejo OneCyber: la segmentación no debería responder únicamente al tipo de dispositivo. También conviene analizar qué recursos necesita realmente cada usuario o sistema y limitar las comunicaciones innecesarias.
Una segmentación adecuada no solo mejora la seguridad, sino que también facilita la administración de la infraestructura. Sin embargo, muchas organizaciones siguen utilizando redes excesivamente planas, incrementando innecesariamente su exposición.
5. Mantener el firmware desactualizado
El firmware de routers, switches y puntos de acceso también puede contener vulnerabilidades.
Los fabricantes publican actualizaciones para corregir fallos de seguridad, mejorar el funcionamiento de los equipos y solucionar vulnerabilidades conocidas. Si estas actualizaciones no se aplican, la organización puede mantener expuestos problemas para los que ya existe una solución.
Por ello, cualquier estrategia de seguridad Wi-Fi empresarial debería contemplar:
- Revisar periódicamente la disponibilidad de nuevas versiones.
- Mantener un inventario del equipamiento instalado.
- Sustituir equipos que hayan dejado de recibir soporte.
- Programar ventanas de mantenimiento para aplicar actualizaciones de forma controlada.
Las recomendaciones de NIST también destacan la importancia de mantener los sistemas actualizados como parte de las medidas fundamentales de protección de una organización.
Utilizar hardware que ha llegado al final de su vida útil puede suponer un riesgo incluso cuando aparentemente continúa funcionando correctamente.
En muchas ocasiones, los dispositivos llevan años funcionando sin incidencias visibles, pero ya no reciben actualizaciones del fabricante. Detectar este tipo de situaciones forma parte de cualquier revisión preventiva de seguridad.
6. Mantener activas funciones que no necesitas
Cuantas más funcionalidades y servicios permanezcan habilitados, mayor puede ser la superficie de exposición.
Por ello, conviene revisar la configuración de routers, firewalls y puntos de acceso y deshabilitar aquellos servicios que no sean necesarios para la actividad de la organización.
Entre los elementos que deberían revisarse se encuentran:
- Administración remota desde Internet.
- WPS (Wi-Fi Protected Setup).
- Protocolos antiguos.
- Servicios de gestión que no se utilicen.
- Interfaces o funcionalidades habilitadas por defecto.
El objetivo no es desactivar funciones indiscriminadamente, sino aplicar un principio sencillo: si un servicio no es necesario, no debería permanecer expuesto sin motivo.
Error habitual: asumir que la configuración inicial de un dispositivo es necesariamente la más adecuada para las necesidades de seguridad de la empresa.
Revisar periódicamente estas funcionalidades permite reducir la superficie de ataque sin afectar al funcionamiento habitual de la red.
7. No controlar qué dispositivos están conectados
Conocer la contraseña del Wi-Fi no debería ser el único mecanismo para controlar quién o qué accede a una red corporativa.
Es recomendable mantener un inventario actualizado de los dispositivos autorizados y revisar periódicamente las conexiones activas.
Muchas soluciones empresariales permiten:
- Identificar dispositivos desconocidos.
- Detectar comportamientos anómalos.
- Aplicar políticas diferentes según el usuario o dispositivo.
- Revocar accesos cuando sea necesario.
- Obtener mayor visibilidad sobre la infraestructura.
Esta visibilidad resulta especialmente importante durante la respuesta ante un incidente. Si la organización conoce qué dispositivos deberían formar parte de la red, resulta mucho más sencillo identificar conexiones inesperadas o comportamientos fuera de lo habitual.
La arquitectura de red empresarial planteada por NIST pone especial atención en aspectos como la visibilidad, el control de acceso y la protección de los diferentes componentes de una infraestructura moderna.
Si una organización desconoce exactamente qué equipos forman parte de su red, probablemente exista margen para mejorar la visibilidad y el control de su infraestructura.
8. Descuidar la seguridad del acceso remoto
El teletrabajo, los modelos híbridos y el acceso de proveedores a determinados sistemas han ampliado el perímetro tradicional de las organizaciones.
La seguridad ya no termina en las paredes de la oficina.
Cuando empleados, colaboradores o proveedores acceden desde el exterior, deben hacerlo mediante mecanismos de conexión adecuados y políticas de acceso coherentes con el nivel de riesgo.
Entre las medidas que deberían contemplarse se encuentran:
- Uso de conexiones remotas seguras.
- VPN corporativa cuando resulte adecuada para la arquitectura.
- Autenticación multifactor.
- Equipos actualizados.
- Políticas de acceso según el perfil del usuario.
- Aplicación del principio de mínimo privilegio.
Las recomendaciones de la FTC sobre ciberseguridad para pequeñas empresas también destacan la importancia de proteger los accesos, utilizar mecanismos de autenticación adecuados y adoptar medidas de seguridad para los entornos de trabajo.
Una red Wi-Fi empresarial segura pierde parte de su eficacia si los accesos desde el exterior no mantienen unas garantías equivalentes.
Revisar la seguridad de la red y de los accesos remotos de forma conjunta permite obtener una visión mucho más completa de la exposición real de la organización.
La seguridad Wi-Fi forma parte de una estrategia global de ciberseguridad
Configurar correctamente el Wi-Fi de la empresa es un paso imprescindible, pero no suficiente.
Una estrategia sólida de ciberseguridad debe contemplar también otros elementos de la infraestructura y de la propia organización:
- Monitorización continua.
- Gestión de vulnerabilidades.
- Protección del correo electrónico.
- Seguridad de endpoints.
- Copias de seguridad.
- Gestión de identidades y accesos.
- Formación y concienciación de los empleados.
- Planes de respuesta ante incidentes.
- Revisión periódica de configuraciones y políticas de seguridad.
La ciberseguridad no depende de una única tecnología, sino de la combinación de personas, procesos y herramientas trabajando de forma coordinada.
Por eso, aplicar de forma aislada una o dos de estas medidas no sustituye a una estrategia de seguridad correctamente diseñada. Sin una visión global resulta mucho más difícil detectar configuraciones inseguras, vulnerabilidades o puntos de mejora antes de que puedan ser aprovechados por un atacante.
¿Sabes si tu red Wi-Fi cumple realmente estas buenas prácticas?
Una infraestructura puede funcionar correctamente durante años y, al mismo tiempo, mantener configuraciones que incrementan innecesariamente el riesgo.
Actualizar los protocolos de seguridad, segmentar la red, eliminar configuraciones por defecto, mantener el firmware actualizado, controlar los dispositivos conectados o separar correctamente la red de invitados son medidas que pueden reducir considerablemente la superficie de ataque de una organización.
Por eso, la pregunta no debería ser únicamente si el Wi-Fi de la empresa funciona.
La pregunta es si realmente está configurado para proteger la organización.
En OneCyber ayudamos a empresas y organizaciones a evaluar la seguridad de sus infraestructuras mediante auditorías de ciberseguridad que permiten identificar vulnerabilidades y detectar configuraciones que podrían incrementar su exposición. A partir de ese análisis, es posible establecer medidas adaptadas a las necesidades, características y nivel de riesgo de cada organización.
Porque una configuración insegura puede permanecer invisible durante años, hasta que alguien decide aprovecharla.
La mejor forma de responder a un ciberataque sigue siendo evitar que llegue a producirse.
