¿Cómo asegurar redes inalámbricas Wi-Fi en tu empresa?

Asegurar una red Wi-Fi empresarial significa configurar cifrado fuerte, segmentar el tráfico y auditar periódicamente quién se conecta y cómo.

Tu red Wi-Fi es la puerta más fácil de abrir

Imagina que tienes una oficina en la colonia Narvarte. Tu equipo trabaja con laptops, tabletas y celulares conectados al Wi-Fi de la empresa. Un visitante se sienta en la sala de espera, abre su laptop y, en diez minutos, ya está interceptando el tráfico de tu red interna. No rompió ninguna cerradura. Simplemente entró por la puerta que dejaste sin llave.

Eso pasa todos los días en empresas medianas de México. El Wi-Fi parece invisible, pero es un punto de acceso físico a tu infraestructura digital. Si no lo configuras bien, cualquier persona en el estacionamiento o en el piso de arriba puede intentar entrar.

El Marco de Seguridad Inalámbrica por Capas

La forma más efectiva de proteger tu red Wi-Fi es pensar en capas. No existe una sola configuración que lo resuelva todo. Necesitas aplicar el Marco de Seguridad Inalámbrica por Capas, que tiene cuatro niveles:

1. Cifrado fuerte — protege los datos en tránsito.
2. Segmentación de red — separa a los usuarios según su nivel de confianza.
3. Autenticación fuerte — controla quién puede conectarse.
4. Auditoría continua — detecta cambios y comportamientos anómalos.

Cada capa hace algo diferente. Si falla una, las demás siguen protegiendo. Así funciona la seguridad real.

Capa 1: Cifrado con WPA3

WPA3 es el estándar de cifrado Wi-Fi más reciente. Reemplaza a WPA2, que tiene vulnerabilidades conocidas desde 2017.

¿Por qué importa? Con WPA2, un atacante puede capturar el "handshake" de conexión y luego intentar adivinar la contraseña fuera de línea con herramientas como Hashcat. Con WPA3, eso ya no es posible gracias al protocolo SAE (Simultaneous Authentication of Equals).

Cómo configurarlo:

• Accede al panel de administración de tu access point (normalmente en 192.168.1.1 o similar).
• Busca la sección de seguridad inalámbrica.
• Selecciona WPA3-Personal o WPA3-Enterprise si tienes servidor RADIUS.
• Si tus dispositivos son más antiguos, activa el modo WPA2/WPA3 mixto para compatibilidad.

Una empresa como Liverpool que tiene tiendas en todo el país ya usa WPA3 en sus redes internas para proteger los sistemas de punto de venta. Tú puedes hacer lo mismo, sin importar el tamaño de tu negocio.

Contraseña fuerte: Usa al menos 16 caracteres, combina letras, números y símbolos. Cambia la contraseña cada 90 días. Nunca uses el nombre de tu empresa como contraseña — es lo primero que prueban los atacantes.

Capa 2: Segmentación de red con VLANs

No todos los dispositivos deberían estar en la misma red. Un celular de visita no debe ver las impresoras del área contable. Un sistema de cámaras no debe tener acceso a la base de datos de clientes.

La segmentación se hace con VLANs (redes virtuales) y múltiples SSIDs (nombres de red).

Esquema recomendado para una empresa mediana:

Esta separación es crítica. Si un atacante compromete la red de invitados, no puede saltar automáticamente a los servidores internos. La VLAN actúa como una pared cortafuego.

Ejemplo práctico: Una distribuidora de FEMSA en Monterrey tiene tres redes: una para los dispositivos de los vendedores, una para los equipos de almacén con lectores de código de barras, y una para las visitas. Si un repartidor conecta un celular infectado a la red de visitas, el malware no puede llegar a los sistemas de inventario.

Capa 3: Autenticación fuerte

La contraseña Wi-Fi compartida es el modelo más débil de autenticación. Cualquiera que la sepa puede conectarse, y cuando un empleado sale de la empresa, esa contraseña sigue siendo válida.

Existen dos opciones mejores:

Opción A — 802.1X con servidor RADIUS: Cada usuario se autentica con su propio usuario y contraseña (o certificado digital). El servidor RADIUS valida la identidad antes de dar acceso. Es el estándar en empresas como Bimbo o Mercado Libre para su personal técnico.

Configurar un servidor RADIUS puede hacerse con FreeRADIUS (gratuito) en un servidor Linux. Costo estimado: $0 en licencias, más el tiempo de configuración.

Opción B — Credenciales únicas por empleado con rotación automática: Si 802.1X es muy complejo para tu etapa actual, usa soluciones como Cisco Meraki o Ubiquiti UniFi, que permiten crear vouchers o credenciales temporales para visitas y rotar contraseñas automáticamente cada mes.

Qué evitar:

• No uses el SSID por defecto del fabricante (como "Linksys" o "TP-Link_2G"). Anuncia qué hardware usas.
• No ocultes el SSID pensando que eso lo protege — cualquier herramienta de auditoría lo detecta en segundos.
• No uses WEP ni WPA1. Son protocolos rotos y no deben existir en ninguna empresa.

Capa 4: Auditorías básicas de tu red inalámbrica

Configurar bien tu red no es suficiente si no verificas que siga así. Las auditorías detectan cambios no autorizados, dispositivos desconocidos y configuraciones degradadas.

Herramienta 1 — Kismet: Kismet es un analizador de redes inalámbricas gratuito. Detecta todos los access points y clientes en tu área. Úsalo mensualmente para ver si apareció un "rogue AP" (un punto de acceso falso que alguien instaló sin permiso).

Herramienta 2 — Wireshark con captura inalámbrica: Activa el modo monitor en tu adaptador de red y captura tráfico Wi-Fi. Busca tráfico no cifrado, dispositivos desconocidos o patrones inusuales. Esta es la misma técnica que usaría un atacante — conocerla te da ventaja defensiva.

Herramienta 3 — Nmap en tu red interna: Ejecuta nmap -sn 192.168.1.0/24 para listar todos los dispositivos conectados. Compara contra tu inventario. Cualquier IP desconocida es una alerta.

Checklist mensual de auditoría:

• ¿Sigue activo WPA3 en todos los access points?
• ¿Hay dispositivos no autorizados conectados?
• ¿Los logs del router muestran intentos de conexión fallidos inusuales?
• ¿Las contraseñas cambiaron según el calendario?
• ¿Hay access points nuevos que no instaló tu equipo?

Errores comunes que cuestan caro

Error 1 — Una sola red para todo: Muchas empresas pequeñas tienen un solo SSID para empleados, visitas, cámaras e impresoras. Si un dispositivo se infecta, el malware puede moverse libremente por toda la red. La solución es la segmentación que vimos arriba.

Error 2 — Contraseñas que nunca cambian: Un despacho contable en CDMX usó la misma contraseña Wi-Fi por tres años. Tres ex empleados seguían teniendo acceso desde la calle. La rotación periódica es obligatoria, especialmente después de salidas de personal.

Error 3 — Access points con firmware desactualizado: Los fabricantes publican actualizaciones de seguridad constantemente. Un access point con firmware viejo puede tener vulnerabilidades críticas. Revisa actualizaciones cada trimestre.

Error 4 — Ignorar la señal que sale del edificio: Tu señal Wi-Fi probablemente llega al estacionamiento o al edificio de enfrente. Ajusta la potencia de transmisión para que la señal no salga más allá de donde la necesitas. Esto se configura en el panel del access point.

Error 5 — No tener un registro de acceso: Si no guardas logs de quién se conectó y cuándo, no puedes investigar incidentes. Activa el registro de conexiones en tu router o controlador Wi-Fi y guárdalos al menos 90 días.

Cómo empezar hoy mismo

No necesitas hacer todo al mismo tiempo. Sigue este orden de prioridad:

1. Esta semana: Activa WPA3 y cambia todas las contraseñas Wi-Fi.
2. Este mes: Crea al menos dos redes separadas: una corporativa y una para invitados.
3. Este trimestre: Implementa autenticación por usuario con RADIUS o una solución equivalente.
4. De forma continua: Ejecuta la checklist de auditoría cada mes.

Cada paso que completes reduce significativamente tu superficie de ataque. Una empresa que tiene WPA3, redes segmentadas y auditorías mensuales ya está mejor protegida que el 80% de las PyMEs en México.

La red Wi-Fi más segura no es la más cara ni la más compleja — es la que tiene capas bien configuradas y se revisa con disciplina.