Cómo proteger router contra intrusos en 9 pasos
Un router mal configurado puede parecer que funciona sin problemas hasta que la conexión se vuelve lenta, aparecen dispositivos desconocidos o alguien obtiene acceso a archivos, cámaras o equipos de trabajo. Saber cómo proteger router contra intrusos no requiere ser especialista, pero sí revisar configuraciones que suelen quedar activadas por defecto.
En una casa, una red comprometida puede exponer computadoras, cámaras y dispositivos inteligentes. En una oficina pequeña, el impacto puede incluir interrupciones de servicio, acceso a impresoras compartidas, pérdida de información y problemas para atender a clientes. Estos nueve pasos ayudan a reducir riesgos sin complicar la operación diaria.
1. Cambie la contraseña de administración del router
La contraseña del WiFi no es la misma que la contraseña de administración del router. La primera permite conectarse a la red inalámbrica; la segunda permite modificar ajustes críticos desde el panel de control del equipo.
Muchos routers conservan credenciales predeterminadas o contraseñas fáciles de identificar. Cambie la cuenta de administrador por una contraseña larga, única y distinta de la clave del WiFi. Una frase de al menos 14 caracteres, combinada con números y símbolos cuando el equipo lo permita, es una buena práctica.
Guarde esa contraseña en un administrador de contraseñas o en un registro seguro de la empresa. Si nadie sabe quién tiene acceso al panel del router, una falla sencilla puede convertirse en una visita técnica urgente.
2. Use cifrado WPA3 o WPA2 con AES
El tipo de seguridad inalámbrica define cómo se protege la información que circula entre los dispositivos y el router. En la configuración de WiFi, seleccione WPA3-Personal si todos los equipos son compatibles. Si tiene dispositivos antiguos, WPA2-Personal con cifrado AES sigue siendo una alternativa confiable.
Evite WEP, WPA original y TKIP. Son protocolos obsoletos y pueden ser vulnerados con relativa facilidad. También conviene evitar el modo mixto si no es necesario, porque mantener compatibilidad con estándares viejos puede disminuir la seguridad general.
En oficinas con equipos heredados, primero identifique cuáles no admiten WPA3 antes de cambiar la configuración. A veces conviene dejar la red principal en WPA3 y conectar esos equipos a una red separada con controles específicos, en lugar de bajar la seguridad de toda la operación.
3. Cree una contraseña WiFi difícil de adivinar
Una clave como el nombre del negocio, el teléfono o una dirección es fácil de compartir y también fácil de intentar adivinar. Utilice una contraseña extensa, que no tenga relación directa con la empresa, la familia o la ubicación.
No es necesario cambiarla cada semana. Cambiar contraseñas sin una razón puede provocar que empleados, impresoras, cámaras y dispositivos inteligentes pierdan conexión. Es más útil reemplazarla cuando se retira personal, se comparte con visitantes sin control, se detecta un dispositivo desconocido o existe sospecha de acceso no autorizado.
Para una oficina, defina quién puede autorizar y comunicar nuevas claves. Esto evita que cada persona entregue la contraseña principal a proveedores, visitas o clientes.
4. Desactive WPS y el acceso remoto si no los utiliza
WPS permite conectar dispositivos al WiFi mediante un botón o un código PIN. Aunque parece práctico, puede abrir una vía de ataque innecesaria. Desactívelo desde la administración del router, especialmente si nadie necesita usar esa función.
Revise también el acceso remoto a la administración. Esta característica permite entrar al panel del router desde fuera de la red, pero rara vez es indispensable para una casa o negocio pequeño. Si está habilitada y no tiene un uso operativo claro, desactívela.
Hay excepciones. Un administrador de TI puede requerir acceso remoto para dar soporte a varias sucursales o ubicaciones. En ese caso, debe restringirse con una VPN, cuentas seguras y reglas específicas. Dejar abierto el acceso remoto por comodidad no es una buena solución.
5. Mantenga actualizado el firmware
El firmware es el sistema interno que controla el router. Sus actualizaciones corrigen errores, mejoran estabilidad y, en muchos casos, cierran fallas de seguridad conocidas. Entrar una vez al panel de configuración para verificar la versión instalada puede evitar problemas posteriores.
Algunos modelos se actualizan automáticamente; otros requieren descargar e instalar el archivo manualmente. Antes de hacerlo, respalde la configuración si el equipo ofrece esa opción y programe la actualización fuera de horas de mayor actividad. Durante el proceso, no desconecte el router de la energía.
Si el fabricante ya no publica actualizaciones para su modelo, evalúe reemplazarlo. Un router antiguo puede seguir dando señal, pero no necesariamente puede proteger una red con laptops, cámaras IP, telefonía, terminales de pago e impresoras conectadas.
Cómo proteger un router contra intrusos con redes separadas
Separar dispositivos es una de las medidas más útiles cuando se combinan equipos de trabajo, visitas y dispositivos inteligentes en el mismo espacio. La red principal debe concentrar computadoras, servidores, teléfonos IP y recursos que manejan información de la operación.
Cree una red para invitados con una contraseña distinta. Active el aislamiento de clientes si el router lo permite, para que quienes se conecten como visitantes tengan internet, pero no puedan ver impresoras, carpetas compartidas ni equipos de la red interna.
También es recomendable separar cámaras, asistentes de voz, televisiones inteligentes, enchufes y otros dispositivos IoT. Estos equipos no siempre reciben actualizaciones frecuentes y no necesitan comunicarse directamente con las computadoras administrativas. En routers empresariales, esto se resuelve con VLAN; en equipos domésticos, una red de invitados o una segunda red puede ser suficiente, según el modelo.
Ocultar el nombre de la red no sustituye esta medida. Un SSID oculto todavía puede detectarse y suele generar más dificultades al conectar dispositivos legítimos. Es preferible un nombre neutro, sin incluir el domicilio, el nombre completo de la familia o datos del negocio, junto con una buena contraseña y cifrado actual.
7. Revise los dispositivos conectados con frecuencia
En el panel del router encontrará una lista de clientes conectados. Revísela al menos una vez al mes y cada vez que note lentitud inusual, cortes o actividad extraña. Compare los nombres, direcciones IP y direcciones MAC con los equipos reales de su casa u oficina.
No todos los dispositivos se muestran con un nombre claro. Una cámara puede aparecer como una marca genérica y un teléfono como una combinación de letras y números. Puede facilitar futuras revisiones asignando nombres reconocibles a los equipos desde el router.
Si identifica un dispositivo desconocido, cambie primero la contraseña del WiFi y expulse o bloquee el equipo desde el panel. Después revise si la contraseña pudo haber sido compartida, si WPS estaba activo o si existe una cuenta de administración expuesta. Bloquear una dirección MAC puede ayudar como medida temporal, pero no debe ser la única protección porque esa dirección puede falsificarse.
8. Limite funciones que abren puertas innecesarias
UPnP, reenvío de puertos y DMZ pueden ser necesarios para ciertos videojuegos, sistemas de videovigilancia, telefonía o acceso a aplicaciones internas. Sin embargo, cada función expuesta hacia internet debe tener una razón documentada.
Desactive UPnP si no lo necesita. Revise las reglas de reenvío de puertos y elimine las que pertenezcan a equipos que ya no están en uso. Nunca coloque una computadora de trabajo en DMZ como solución rápida a un problema de conexión: esa decisión la deja mucho más expuesta a internet.
Cuando las cámaras o el servidor requieren acceso desde fuera, es preferible configurar una VPN o utilizar métodos de acceso seguros definidos por el fabricante y el instalador. El ajuste adecuado depende del sistema; copiar configuraciones genéricas puede afectar tanto la seguridad como la operación.
9. Proteja el equipo físicamente y tenga un plan de recuperación
El router debe estar en un sitio ventilado, con acceso controlado y conectado a un respaldo de energía cuando la operación dependa de internet. Un apagón o una desconexión accidental puede afectar cámaras, llamadas IP, puntos de venta y trabajo remoto.
Guarde una copia de la configuración después de dejar el equipo correctamente ajustado. Anote el modelo, proveedor de internet, nombre de redes, ubicación de puntos de acceso y responsable de las credenciales. Esta información acelera el diagnóstico si se reemplaza el router o se restablece a valores de fábrica.
Si su red incluye varias áreas, cámaras, switches, cableado estructurado o telefonía IP, conviene que un técnico revise el diseño completo. Proteger solo el router no compensa una red con equipos sin actualización, puertos expuestos o conexiones improvisadas. Compufig puede apoyar con revisión, instalación y mantenimiento de redes para hogares y oficinas en el área metropolitana de Guadalajara.
La mejor protección es la que su equipo puede mantener: contraseñas bajo control, actualizaciones programadas, redes separadas y revisiones periódicas. Con esos hábitos, su conexión deja de ser un punto ciego y se convierte en una parte confiable de la operación.
