Antes de contratar una auditoría de red inalámbrica conviene hacer una pasada tú mismo. No porque sustituya a nada, sino porque saber de antemano en qué estado está tu red te permite acotar el encargo, no pagar por descubrir lo obvio y llegar a la reunión con preguntas en vez de con dudas. Estas doce comprobaciones las puede hacer cualquiera con responsabilidad sobre la red de una oficina, una clínica, un despacho o una nave, y no requieren herramientas especiales.

1. Las doce comprobaciones

1. Sal a la calle con el móvil. Camina por la acera, el aparcamiento y los portales contiguos y mira qué SSID tuyos siguen apareciendo con señal utilizable. Todo lo que se vea desde fuera es superficie de ataque que no controlas.

2. Cuenta tus SSID. Haz una lista de las redes que emites y, para cada una, escribe para qué sirve y quién la usa. Si hay alguna que no sabes explicar, tienes el primer hallazgo. Las redes de pruebas, de eventos y de obras que nadie apagó son un clásico.

3. Comprueba el cifrado de cada una. Abierta, WPA2 personal, WPA2 Enterprise o WPA3. Si tienes alguna abierta que no sea estrictamente la de invitados, hay que explicarlo. Y si usas WPA3, confirma si está en modo de transición, porque entonces sigue aceptando WPA2.

4. Pregunta cuándo se cambió la clave del WiFi de invitados. Si la respuesta es «no lo sé» o «desde que lo instalaron», esa clave la tienen ex empleados, antiguos proveedores y todo el que haya pasado por una sala de reuniones.

5. Comprueba si el aislamiento entre clientes está activo en la red de invitados. Conecta dos dispositivos y mira si se ven entre ellos. Si se ven, cualquier visitante puede escanear a los demás visitantes.

6. Conéctate a la red de invitados e intenta llegar a algo interno. La impresora de administración, el disco de red, el panel de la cámara, la intranet. Si llegas a cualquiera de esas cosas, la separación no existe.

7. Mira qué servidor DNS te entrega la red de invitados. Si es tu DNS interno, le estás dando el mapa de tu red a cada visitante.

8. Haz inventario de puntos de acceso físicos y recórrelo. Cuenta los que hay de verdad, con su ubicación. Los repetidores domésticos que alguien compró para la sala del fondo aparecen en este paso, no en la consola de gestión.

9. Entra en la controladora y en un par de puntos de acceso. Comprueba si la contraseña de administración sigue siendo la de fábrica, cuándo se actualizó el firmware por última vez y si la interfaz de administración es accesible desde la red de invitados. Las tres respuestas suelen sorprender.

10. Revisa las tomas de red accesibles al público. Sala de espera, sala de reuniones, recepción, zona de carga. Enchufa un portátil y mira si te da dirección y acceso a la red interna. Las que no se usan deberían estar deshabilitadas.

11. Si usas WPA2 Enterprise, comprueba la validación de certificado en los equipos corporativos. Si los portátiles y móviles no verifican el certificado del servidor RADIUS, un punto de acceso suplantado se lleva las credenciales del dominio. Es el hallazgo más caro que encontramos y el menos visible.

12. Haz la lista de lo que cuelga del WiFi y no es un ordenador. Cámaras, impresoras, televisores, terminales de almacén, lectores de códigos, sensores, climatización. Para cada uno: si tiene contraseña propia, si se actualiza y en qué red está.

2. Cómo interpretar lo que te salga

No todos los hallazgos pesan igual. Esta es la lectura rápida.

Si fallan el 5, el 6 o el 7, tienes un problema de segmentación y es prioritario. Significa que la red que das a visitantes no está realmente separada de la tuya, y eso convierte a cualquier persona que entre en tu edificio en un punto de partida.

Si falla el 11, para y atiéndelo. Las credenciales corporativas capturadas por un punto de acceso falso no se quedan en el WiFi: abren el correo, la VPN y lo que haya detrás.

Si fallan el 8 o el 10, tienes un problema de control físico. Normalmente es barato de corregir y se resuelve en una tarde.

Si fallan el 2, el 3, el 4 o el 9, tienes deuda de mantenimiento. No es urgente por sí solo, pero es el terreno donde crecen los demás.

Si falla el 1, no es un problema en sí mismo: el WiFi se propaga y punto. Lo que indica es cuánta gente puede atacarte sin entrar en tu edificio, y por tanto cuánto importa que el resto esté bien.

3. Dónde se acaba lo que puedes hacer tú

Las doce comprobaciones anteriores te dicen si la configuración es razonable. No te dicen si resiste. Esa diferencia es la que separa una revisión de una auditoría, y hay cuatro cosas que no se pueden hacer sin herramientas y sin método:

• Medir la robustez real de la clave, capturando el material criptográfico y auditándolo fuera de tu red.
• Probar la suplantación de punto de acceso para comprobar si tus equipos muerden, que es lo único que valida de verdad el punto 11.
• Verificar la segmentación de forma exhaustiva, no solo contra los dos o tres sistemas que se te ocurren, sino contra todo el direccionamiento.
• Documentar la cobertura con mediciones, que es lo que convierte «se ve desde la calle» en un mapa que puedes enseñar a dirección o a un auditor.

4. Cuándo tiene sentido contratarla

Hay cuatro momentos en los que una auditoría inalámbrica devuelve claramente lo que cuesta.

Cuando cambias de sede, reformas o amplías. La cobertura depende de los tabiques: lo que antes moría en el pasillo ahora se oye desde la calle.

Cuando tienes una norma que cumplir. El Esquema Nacional de Seguridad, la ISO/IEC 27001 y la NIS2 exigen control de las comunicaciones inalámbricas; PCI DSS exige además detectar trimestralmente puntos de acceso no autorizados.

Cuando ha pasado algo que no sabes explicar. Si los registros no cuadran y no encuentras el punto de entrada, el WiFi es una de las puertas que casi nadie revisa.

Cuando nunca se ha hecho. Si nadie ha intentado entrar con permiso, el primero que lo intente de verdad no lo tendrá.

Y un apunte para quien tenga varias delegaciones: lo habitual es que la configuración se haya ido separando entre sedes aunque el proveedor sea el mismo. Un informe consolidado que compare sedes suele ser más útil que cinco informes sueltos, porque enseña dónde está el estándar y dónde la excepción.

¿Has hecho la lista y te han salido cosas?

En Jaymon Security auditamos redes inalámbricas de empresas, naves, clínicas y hoteles. Alcance y presupuesto cerrados antes de empezar, informe con evidencias y retest incluido.

Consulta el servicio de auditoría de redes WiFi o llámanos al +34 686 250 244.

Formación relacionada

Si quieres formar a tu equipo en seguridad ofensiva y defensiva, echa un vistazo a nuestros cursos de ciberseguridad.