«La red de invitados está separada.» Es la frase que más veces escuchamos al empezar una auditoría en un hotel, y la que más veces desmontamos antes de comer. Separada suele querer decir que hay un SSID distinto y una VLAN declarada en la controladora. Eso no es separación: eso es etiquetado. La separación se demuestra intentando pasar de un lado al otro y no consiguiéndolo.
1. Qué significa realmente «estar separado»
Un SSID es un nombre. Una VLAN es una etiqueta que viaja en la trama. Ninguna de las dos cosas, por sí sola, impide que un paquete llegue a su destino. Lo que lo impide es que alguien haya escrito una regla de filtrado en el equipo que encamina entre las dos redes, y que esa regla siga ahí.
Esa es la clave de casi todos los casos que encontramos: la separación se configuró bien el día de la instalación y se fue erosionando después. Una impresora que había que compartir. Un sistema de reservas del restaurante que necesitaba llegar al servidor. Un proveedor de televisión al que se le abrió un puerto «mientras tanto». Cada una de esas excepciones es razonable por separado y ninguna se documenta. Dos años después, la red de invitados tiene seis caminos abiertos hacia la interna y nadie en el hotel sabe cuántos son.
2. Qué hay colgado de la red de un hotel
Para entender por qué esto importa tanto en hostelería, hay que ver el inventario real de un establecimiento medio:
- El PMS, donde vive la ficha de cada huésped: nombre, documento de identidad, teléfono, domicilio y datos del medio de pago.
- Los terminales de punto de venta del restaurante, el bar y la recepción.
- El sistema de cerraduras electrónicas y su software de gestión.
- Las cámaras de videovigilancia y su grabador.
- La cartelería digital y los televisores de habitación, muchas veces con un sistema de IPTV propio del proveedor.
- Impresoras en recepción y en administración, casi siempre con panel web sin contraseña.
- Climatización, domótica y control de accesos de zonas de personal.
- Los equipos del personal: recepción, dirección, administración y mantenimiento.
Un atacante que entra por la red de habitaciones no busca el PMS directamente. Busca cualquiera de los otros, porque casi todos tienen credenciales por defecto, firmware antiguo y, sobre todo, permiso para hablar con la red interna.
3. Cómo se salta de una red a la otra
La cadena que reproducimos en una auditoría tiene siempre la misma forma, y no requiere nada exótico.
Paso uno: ver quién hay. Si el aislamiento entre clientes está desactivado —y lo está en la mayoría de los hoteles que auditamos— desde una habitación se ven los demás dispositivos conectados a la misma red. Con eso solo ya se tiene el primer mapa.
Paso dos: escuchar lo que la red cuenta sola. Protocolos de descubrimiento como mDNS, SSDP o NetBIOS anuncian impresoras, televisores y servidores sin que nadie pregunte. En un hotel con la segmentación mal hecha, en esa escucha aparecen nombres de equipo que delatan la red interna.
Paso tres: encontrar al dispositivo con los dos pies. Es el que tiene una pata en la red de invitados y otra en la interna. Suele ser una impresora, un sistema de IPTV, un servidor de música ambiental o un controlador de domótica. Entrar en él rara vez es difícil: panel de administración accesible, credenciales de fábrica, firmware de hace cinco años.
Paso cuatro: usarlo como puente. Desde ese dispositivo se alcanza lo que él alcanza. Y lo que él alcanza es la red donde está el PMS.
Hay una variante que aparece cuando el puerto de red de una sala o de una habitación está configurado como trunk en lugar de como puerto de acceso: entonces no hace falta ni un dispositivo puente, basta con etiquetar el tráfico con la VLAN correcta. Es menos frecuente, pero cuando aparece es inmediato.
4. Las cuatro cosas que sí separan de verdad
Ninguna de estas cuatro es cara. Todas se configuran en el equipamiento que el hotel ya tiene.
Aislamiento entre clientes en el SSID de invitados. Que un huésped no vea a otro huésped. Es una casilla en la controladora y resuelve de golpe el paso uno de la cadena anterior.
VLAN propia con filtrado explícito. La red de invitados sale a Internet y a nada más. La regla por defecto entre la VLAN de invitados y cualquier otra debe ser denegar, con las excepciones mínimas documentadas y revisadas. Si no puedes enseñar esa lista, no tienes segmentación: tienes costumbre.
DHCP y DNS propios para la red de invitados. Si los huéspedes resuelven nombres contra tu DNS interno, les estás dando el mapa de tu red sin que lo pidan.
Puertos de acceso bien configurados. Las tomas de red accesibles al público —salas, habitaciones, zonas comunes— no deben admitir etiquetado de VLAN ni entregar acceso a la red interna. Conviene además deshabilitar las que no se usan.
Y una quinta que no siempre es viable pero cambia el escenario: control de admisión a la red, de forma que un dispositivo desconocido enchufado a una toma acabe en una red de cuarentena y no en la interna.
5. Cómo se comprueba que es real
La comprobación es sencilla de explicar y es la parte más valiosa de una auditoría WiFi en hostelería: conectarse como huésped, con una clave de huésped, desde una habitación, e intentar llegar a cada uno de los sistemas que no deberían ser alcanzables. Y después repetirlo desde la red del personal, que suele tener menos restricciones de las que se cree.
El resultado no es una opinión. Es una lista de lo que se alcanzó, desde dónde, con qué protocolo y a qué hora. Con eso, el proveedor de red del hotel tiene exactamente lo que necesita para corregir, y la dirección tiene con qué comprobar que se ha corregido.
6. Esto no es solo de hoteles
El mismo patrón se repite en cualquier organización que ofrezca WiFi a visitantes: clínicas, despachos, concesionarios, centros de formación, oficinas con sala de espera, naves logísticas con transportistas entrando y saliendo. Si tienes una red para gente que no trabaja contigo, tienes este problema, con más o menos superficie.
La diferencia del hotel es el volumen y lo que hay al otro lado: cientos de desconocidos al mes y una base de datos con documentos de identidad y medios de pago que la ley te obliga a conservar durante tres años.
¿Seguro que tu red de invitados está separada?
En Jaymon Security lo comprobamos de la única forma que vale: intentando pasar de un lado al otro, con evidencia de cada paso y sin interrumpir la operación.
Consulta el servicio de auditoría de redes WiFi o el de test de intrusión si lo que quieres medir es toda la red interna. También puedes llamarnos al +34 686 250 244.
Formación relacionada
Si quieres formar a tu equipo en seguridad ofensiva y defensiva, echa un vistazo a nuestros cursos de ciberseguridad.