Cómo proteger una red Wi-Fi doméstica o empresarial

Una red Wi-Fi mal protegida es una puerta abierta a todos los dispositivos conectados a ella, y eso implica varios riesgos concretos. Un atacante o simplemente un vecino que logre entrar puede espiar el tráfico de la red, capturando aquello que no viaje cifrado, lo que puede exponer información sensible. Puede usar tu conexión a internet para realizar actividades, incluidas actividades ilegales, que quedarían asociadas a tu conexión y por lo tanto a tu nombre. Y lo más grave, puede acceder a los dispositivos que forman parte de tu red —computadoras, cámaras, dispositivos de almacenamiento, equipos del hogar inteligente— y usarlos como trampolín para otros ataques o para robar datos. Todo esto es posible porque la señal Wi-Fi, al ser inalámbrica, sale por las paredes y llega a la calle o a los espacios vecinos, de modo que cualquiera dentro del alcance puede al menos intentar conectarse o escuchar. Si la red está bien protegida, esos intentos fracasan; si no lo está, la puerta queda abierta. Por eso asegurar la Wi-Fi es una de las medidas de seguridad de mayor impacto, y afortunadamente la mayoría de las defensas son configuraciones que se aplican en pocos minutos.

Debés usar el cifrado más fuerte que soporten tu router y tus dispositivos, que actualmente es WPA3. Si algún equipo no es compatible con WPA3, la siguiente mejor opción es WPA2, que sigue siendo razonablemente seguro cuando se combina con una contraseña larga y única. Lo que nunca hay que usar es WEP, un cifrado antiguo que está roto desde hace años y que puede vulnerarse en minutos, ni dejar la red abierta sin ninguna contraseña, lo que equivale a no tener protección alguna y permite que cualquiera se conecte y vea el tráfico. El cifrado es la barrera fundamental que impide que alguien sin la clave se conecte a la red o lea lo que circula por ella, así que elegir uno robusto es la base de toda la seguridad inalámbrica. La configuración del tipo de cifrado se hace desde el panel del router, y en muchos equipos modernos WPA3 o una combinación de WPA2 y WPA3 ya viene activada por defecto, aunque siempre conviene verificarlo. Si el router es tan antiguo que solo ofrece WEP, es una señal clara de que conviene reemplazarlo por uno más moderno.

Es importante distinguir dos contraseñas distintas: la de la red Wi-Fi, que es la que se usa para conectarse a internet, y la de administración del router, que es la que da acceso al panel de configuración del propio equipo. Esta última es la más crítica y la que más se olvida cambiar. Los routers vienen de fábrica con un usuario y una contraseña de administración por defecto que son conocidos públicamente y están disponibles en listas por marca y modelo. Si no se cambian, cualquiera que consiga llegar al router, ya sea desde dentro de la red Wi-Fi o por otras vías, puede entrar a su panel y reconfigurarlo por completo: cambiar la configuración de DNS para redirigir todo tu tráfico hacia sitios maliciosos, abrir puertos hacia tus dispositivos, desactivar protecciones o espiar la red. Es decir, controlar el router equivale a controlar toda la red. Por eso cambiar la contraseña de administración por defecto por una fuerte y única es la medida individual más importante de todas, y sin embargo apenas toma un minuto. Hacerlo cierra una de las puertas más aprovechadas y peligrosas.

La red de invitados es una segunda red Wi-Fi que ofrece el router, separada y aislada de la red principal, con su propio nombre y contraseña. Su utilidad es doble. Por un lado, permite dar acceso a internet a las visitas sin entregarles la contraseña de la red principal ni darles acceso a los dispositivos y datos de esa red. Por otro lado, y aún más importante, es el lugar ideal para conectar los dispositivos del hogar inteligente, como cámaras, enchufes inteligentes, televisores y asistentes de voz, que suelen ser notoriamente inseguros y difíciles de actualizar. Al ubicarlos en la red de invitados en lugar de en la principal, se logra que, si uno de esos dispositivos es vulnerable o llega a comprometerse, el atacante quede confinado a la red de invitados y no pueda alcanzar las computadoras, los teléfonos ni los archivos personales que están en la red principal. Es, en esencia, aplicar el principio de segmentación de redes al hogar: separar lo confiable de lo potencialmente riesgoso para contener el daño. Activar la red de invitados es sencillo desde la configuración del router y aporta una mejora de seguridad considerable con muy poco esfuerzo.

Las medidas básicas son las mismas y aplican a ambos casos: cifrado fuerte, contraseña robusta, cambio de la clave de administración del router, desactivación de WPS, firmware actualizado y red de invitados. En el hogar, con eso se logra una protección muy sólida. En una empresa, donde hay más usuarios, más datos sensibles y más en juego, se agregan capas adicionales. La primera es el uso de WPA en modo empresarial, que en lugar de una única contraseña compartida por todos permite que cada usuario se conecte con sus propias credenciales; esto tiene grandes ventajas, porque se puede revocar el acceso de una persona concreta sin tener que cambiar la clave para todos, y se sabe quién se conecta en cada momento. La segunda es la segmentación de la red mediante VLAN, separándola en zonas —por ejemplo invitados, empleados y dispositivos— de modo que un problema en una zona no alcance a las demás. La tercera son controles de acceso más estrictos y un monitoreo regular de qué dispositivos están conectados. En síntesis, la empresa parte de las mismas bases que el hogar pero añade gestión de identidades, segmentación y vigilancia acordes a un entorno más grande y expuesto.

Sí, y es un principio central del enfoque defensivo de la seguridad: se defiende mejor quien comprende cómo se ataca. Conocer las técnicas con las que se descubren, mapean y auditan las redes inalámbricas permite entender de forma concreta cuáles son las debilidades reales y por qué cada medida de protección importa, en lugar de aplicar recomendaciones de memoria. Por ejemplo, comprender por qué el cifrado WEP se rompe con facilidad, o cómo una función como WPS puede facilitar el acceso, o de qué manera una red mal segmentada expone a todos los dispositivos, lleva a valorar y aplicar correctamente las defensas correspondientes. Este conocimiento, sin embargo, conlleva una responsabilidad ética y legal fundamental: solo debe aplicarse sobre redes propias o sobre redes que se administren con autorización explícita. Acceder o auditar una red ajena sin permiso es ilegal y no tiene nada que ver con el hacking ético, que se define precisamente por operar siempre dentro de un marco legal, autorizado y con fines defensivos o educativos. Aprender cómo funcionan los ataques a redes Wi-Fi es, entonces, una herramienta valiosa para blindar la propia red, siempre que se use con responsabilidad y dentro de la ley.