Un hotel es, en términos de red, el peor escenario posible: cientos de dispositivos desconocidos conectándose cada noche, una red abierta al público por diseño, y detrás de ella el sistema que guarda el documento de identidad y el medio de pago de todos los que han dormido allí en los últimos tres años. Esta es la realidad que se encuentra una auditoría WiFi en un hotel, y lo que hace que el sector hotelero sea de los que más las contratan.
1. Por qué el WiFi de un hotel no es como el de una oficina
En una oficina conectas a gente que conoces, con equipos que gestionas tú, y si alguien se comporta de forma rara lo sabes en una mañana. En un hotel no hay nada de eso.
El huésped es anónimo por definición. Se conecta con un portátil que no has visto nunca, que puede llegar infectado, y lo hace desde una habitación donde nadie le observa, con todo el tiempo del mundo. No necesita entrar por la fuerza en ningún sitio: le has dado la contraseña en el mostrador, impresa en la tarjeta de la habitación.
Añade a eso la segunda particularidad del sector: la misma infraestructura física suele dar servicio a cosas que nunca deberían verse entre sí. El WiFi de las habitaciones, el de las salas de reuniones, el de los empleados, los terminales de punto de venta de los restaurantes, las cerraduras electrónicas, la cartelería digital, las cámaras, los televisores conectados y el property management system donde vive la ficha de cada cliente. Todo eso, con mucha frecuencia, cuelga de los mismos conmutadores y de los mismos puntos de acceso.
Y la tercera: la señal de un hotel sale del edificio sí o sí. Está pensada para cubrir habitaciones en varias plantas, terrazas, piscina y aparcamiento. Esa cobertura se mide también desde la acera de enfrente.
2. Qué revisa exactamente una auditoría WiFi en un hotel
Una auditoría seria no es pasar una aplicación de móvil y entregar una lista de redes. Estas son las nueve comprobaciones que vertebran el trabajo.
- Cobertura real desde fuera. Hasta dónde llega la señal de cada SSID desde la calle, el aparcamiento, el edificio contiguo y los pisos superiores. Se documenta con posiciones y niveles de señal, no con impresiones.
- Robustez de la autenticación. Qué cifrado usa cada red: WPA2 personal con clave compartida, WPA2 Enterprise con 802.1X, WPA3, o el modo de transición que admite las dos cosas a la vez. En hoteles aparece de todo, incluido WiFi abierto con portal cautivo.
- Resistencia de la clave. Captura del handshake o del PMKID y auditoría de la robustez de la contraseña fuera de la red del hotel. Si la clave del WiFi de habitaciones es el nombre del hotel más el año, se sabe en minutos.
- Validación de certificado en las redes Enterprise. Si los equipos corporativos no verifican el certificado del servidor RADIUS, un punto de acceso suplantado captura las credenciales del personal. Es el hallazgo más caro que encontramos, y es más común de lo que parece.
- Puntos de acceso no autorizados. Repetidores que alguien enchufó en una sala para mejorar la cobertura, routers de proveedores de IPTV o de música ambiental, y puntos de acceso de obras o de eventos que se quedaron puestos.
- Segmentación real. Desde la red de habitaciones, qué se alcanza de verdad: la impresora de recepción, las cámaras, el controlador de las cerraduras, el servidor de ficheros, el terminal de punto de venta o el PMS.
- Portal cautivo. Si se puede saltar sin autenticarse, si expone datos de otros huéspedes, y si el tráfico después del portal viaja cifrado o en claro.
- Gestión de la infraestructura. Credenciales por defecto en controladoras y puntos de acceso, interfaces de administración accesibles desde la red de invitados, y firmware sin actualizar desde la instalación.
- Protección de tramas de gestión. Si 802.11w no está activo, desconectar a todos los huéspedes de un punto de acceso es trivial, y eso es justo lo que necesita quien quiere que se conecten a su red falsa.
3. Los cinco hallazgos que aparecen casi siempre
Después de hacer esto en bastantes establecimientos, los resultados se repiten con una regularidad incómoda.
Uno: la red de invitados y la corporativa están separadas en el papel, no en el tráfico. Hay dos SSID distintos y dos VLAN declaradas en la controladora, pero el filtrado entre ellas nunca se configuró en el conmutador o en el cortafuegos, o se configuró y después alguien añadió una regla temporal para que funcionase una impresora.
Dos: el aislamiento entre clientes está desactivado. Es decir, un huésped ve a los demás huéspedes. Puede escanear sus portátiles, intentar acceder a carpetas compartidas y, en el mejor de los casos, limitarse a observar.
Tres: la contraseña del WiFi de habitaciones lleva años sin cambiar y está escrita en la tarjeta de bienvenida. Quien se alojó una noche hace dos veranos sigue pudiendo conectarse desde el aparcamiento.
Cuatro: hay hardware que nadie ha inventariado. Un punto de acceso de una reforma, un repetidor doméstico en un despacho, el router de un proveedor de televisión conectado directamente a la red interna.
Cinco: la controladora WiFi se administra con la credencial de fábrica o con una contraseña que conoce todo el departamento técnico y los dos últimos proveedores que pasaron por allí.
4. Lo que está en juego no es el WiFi
Conviene ser claro con esto, porque es lo que decide si una auditoría WiFi es un gasto técnico o una decisión de negocio.
Desde diciembre de 2024, el Real Decreto 933/2021 obliga a los establecimientos de hospedaje a registrar y comunicar a SES.HOSPEDAJES un conjunto de datos de cada viajero que incluye nombre completo, fecha de nacimiento, nacionalidad, tipo y número de documento de identidad, teléfono, correo electrónico, domicilio y datos del medio de pago. La comunicación debe hacerse de forma inmediata y en todo caso en menos de 24 horas, y el registro informático debe conservarse tres años.
Traducido: todo hotel español mantiene hoy una base de datos con documento de identidad y medio de pago de cada persona que ha pasado por allí en los últimos tres años. Esa base de datos vive en el PMS. Y el PMS, en demasiados establecimientos, está a dos saltos de la red a la que se conecta cualquiera que pague una habitación.
Si además el hotel acepta tarjetas —y las acepta—, le aplica PCI DSS, que exige comprobar trimestralmente la presencia de puntos de acceso inalámbricos no autorizados. Ese requisito concreto es el que más incumplimientos silenciosos genera en el sector, y lo tratamos aparte.
5. Cómo se ejecuta sin que el huésped se entere
La objeción habitual de un director de hotel es razonable: no quiere que le toquen la red en temporada alta, y no quiere que un huésped se quede sin conexión por culpa de una prueba.
Por eso el trabajo se ordena así. Primero se acuerdan por escrito el alcance, los SSID incluidos, la ventana de ejecución y los criterios de parada. Después viene el reconocimiento pasivo, que consiste literalmente en escuchar sin emitir: ahí ya aparece el inventario completo de redes y puntos de acceso, y con él los que no deberían estar. Luego se mide la cobertura recorriendo el perímetro. Solo entonces se ejecutan las pruebas activas, que están acotadas y no incluyen ataques de denegación de servicio salvo autorización expresa.
La parte que más sorpresas da —la validación de la segmentación— se hace desde una habitación, con una conexión normal de huésped, y no afecta a nadie más.
6. Qué se lleva el hotel
Un informe ejecutivo para dirección con el riesgo en lenguaje de negocio, un informe técnico con la evidencia de cada hallazgo, un mapa de hasta dónde llega la señal fuera del edificio, el inventario de SSID y puntos de acceso, y un plan de corrección priorizado con la configuración concreta que hay que cambiar en la controladora. Y un retest cuando el equipo técnico o el proveedor hayan aplicado los cambios, porque un informe sin verificación de cierre sirve de poco.
¿Quieres saber hasta dónde llega el WiFi de tu hotel?
En Jaymon Security auditamos redes inalámbricas de hoteles y empresas con pruebas reales, sin interrumpir la operación y con el informe mapeado contra el ENS y la ISO 27001.
Consulta el servicio de auditoría de redes WiFi o llámanos al +34 686 250 244 y lo valoramos en media hora.
Formación relacionada
Si quieres formar a tu equipo en seguridad ofensiva y defensiva, echa un vistazo a nuestros cursos de ciberseguridad.