Post actualizado el día noviembre 13, 2026 by DeiviSanzPlay
Hace unos meses un conocido me pidió ayuda con su consulta dental. Tenía tres ordenadores conectados por WiFi, una impresora de red y un disco NAS donde guardaba las historias clínicas de sus pacientes. La proteccion de redes inalambricas era, en su cabeza, haber puesto una contraseña larga al router que instaló el técnico de la operadora. Nada más. Y así llevaba cuatro años.
El problema no fue un hacker con capucha. Fue que la red WiFi de invitados estaba activada, sin contraseña, y conectada a la misma subred que el NAS. Cualquiera que aparcara en la puerta podía ver los recursos compartidos. Un vecino con conocimientos básicos lo hizo, no por maldad, sino por curiosidad. Copió dos carpetas de historias clínicas y luego lo comentó en una cena. Ahí se enteró mi conocido.
El fallo real no era la contraseña del router
Cuando revisamos la configuración, el cifrado era WPA2-PSK con una clave decente. El firmware, eso sí, no se había actualizado desde la instalación. La seguridad de redes inalámbricas no depende solo de la clave: depende de qué servicios expone el router hacia dentro y hacia fuera. Aquel equipo tenía UPnP activo, WPS habilitado y una cuenta de administración con la contraseña por defecto del fabricante.
El WPS fue la puerta. No hacía falta adivinar la clave WiFi; bastaba con pulsar un botón que el router aceptaba por defecto si alguien lo solicitaba en un margen de tiempo amplio. Herramientas públicas permiten probar esa vía sin ser un experto. Mi conocido pensaba que el botón WPS era una comodidad, no un riesgo.
Qué salió mal en cadena
Primero, la red de invitados compartía subred. Segundo, el NAS tenía carpetas compartidas con permisos de lectura para «todos». Tercero, el firmware nunca se actualizó. Cuarto, nadie revisó los dispositivos conectados en meses. La protección de redes inalámbricas falla casi siempre por acumulación de pequeños descuidos, no por un agujero espectacular.
El cifrado WPA3 habría ayudado, pero el router no lo soportaba. Cambiarlo era la solución más limpia, y aun así, sin segmentar la red, el NAS seguiría expuesto internamente. Esto no funciona para quien espera una solución única: no hay un solo ajuste que cierre todo.
Lo que hicimos, y lo que no resuelve
Desactivamos WPS, apagamos UPnP, cambiamos la contraseña del panel de administración y creamos una VLAN separada para invitados e IoT. Actualizamos el firmware y revisamos los permisos del NAS con cuentas individuales. También activamos el registro de conexiones, algo que casi nadie mira hasta que pasa algo.
No contratamos auditoría externa ni instalamos un sistema de detección de intrusiones. Para una consulta pequeña, era desproporcionado. La protección de redes inalámbricas domésticas tiene un punto de rendimiento decreciente: cada capa adicional cuesta dinero y tiempo. Mi opinión es que la segmentación y las actualizaciones cubren más que cualquier software milagroso.
Lo que aprendí de este caso concreto
La contraseña del WiFi no es la protección; es la primera puerta. Detrás hay puertos, servicios, permisos y dispositivos olvidados. Cualquier artículo serio sobre protección de redes inalámbricas debería insistir en revisar la lista de clientes conectados cada cierto tiempo. Ahí se ven cosas raras: una impresora que no existe, un móvil desconocido, una cámara que nadie recuerda haber comprado.
Fuentes como las guías de la OWASP o las recomendaciones del CERT de distintos países coinciden en lo básico: firmware al día, WPA2/WPA3, WPS desactivado y red de invitados aislada. Nada de eso es secreto. El problema es que se aplica a medias.
Si tienes un negocio pequeño con datos sensibles, no te fíes solo del router del operador. Y si tienes una red doméstica con cámaras y altavoces, separa esos dispositivos del ordenador donde guardas tus cosas. La proteccion de redes inalambricas se hace con decisiones aburridas, no con apps vistosas.
Perfiles verificables: Sitio web
Publicado el 13 de November de 2026. Última revisión: 13 de November de 2026.
