¿Es su router con WPS un riesgo de seguridad?

Conectar dispositivos inalámbricos a una red WiFi era históricamente frustrante para los usuarios finales que tenían que buscar y escribir contraseñas largas y complejas. Para resolver este inconveniente, la Wi-Fi Alliance introdujo WiFi Protected Setup (WPS) en 2007. Diseñado para simplificar el acceso mediante botones de activación o un PIN de 8 dígitos, WPS obtuvo una adopción generalizada en los routers de consumo. Sin embargo, lo que parecía una solución práctica de usabilidad introdujo una falla de seguridad fundamental que hoy en día sigue poniendo en peligro a las redes comerciales y corporativas.

¿Qué es WPS y por qué se creó?

Durante la expansión de las redes inalámbricas domésticas y de oficina a mediados de la década de 2000, conectar hardware como impresoras inalámbricas, pantallas inteligentes y dispositivos móviles resultaba complicado. Los usuarios solían introducir mal las contraseñas WPA2 o tenían dificultades para acceder a los paneles de administración.

WiFi Protected Setup se diseñó para estandarizar la incorporación de clientes a través de cuatro métodos de acceso sencillos:

• Método PIN: El dispositivo cliente ingresa un PIN numérico de 8 dígitos impreso en la etiqueta del router o generado por software.
• Configuración mediante botón (PBC): El usuario presiona un botón físico o virtual tanto en el router como en el dispositivo cliente dentro de un intervalo de dos minutos para establecer la conexión.
• Near Field Communication (NFC): Al acercar físicamente un dispositivo cliente a un router compatible con NFC, las credenciales se transfieren automáticamente.
• Método de unidad flash USB: Las credenciales se guardan en una unidad USB y se transfieren manualmente entre los equipos (descontinuado rápidamente debido a los riesgos físicos de malware).

Aunque el mecanismo de botón pulsador ofrecía una seguridad física moderada, el mecanismo de PIN de 8 dígitos era obligatorio en todo el hardware con certificación WPS. Ese requisito de PIN obligatorio creó una vulnerabilidad absoluta en millones de sitios de implementación inalámbrica.

Por qué la autenticación WPS PIN es una falla de seguridad importante

La debilidad principal de un router con WPS se origina en la forma en que el router verifica el PIN de 8 dígitos. En lugar de validar los ocho dígitos como un único número de 100 millones de combinaciones, el protocolo de autenticación evalúa el PIN en dos mitades separadas:

• Primera mitad (dígitos 1 al 4): El router valida los primeros cuatro dígitos de forma independiente y responde con un paquete EAP-NACK si son incorrectos. Esto limita la primera etapa a solo 10,000 combinaciones posibles (0000 a 9999).
• Segunda mitad (dígitos 5 al 8): El último dígito es una suma de comprobación calculada a partir de los siete dígitos anteriores. Por lo tanto, el router solo comprueba los dígitos 5, 6 y 7, lo que requiere como máximo 1,000 combinaciones (000 a 999).

Al dividir el proceso de verificación, el protocolo reduce la complejidad total de la fuerza bruta de 100,000,000 de posibilidades a solo 11,000 intentos en total (10,000 + 1,000). Las herramientas automatizadas de pruebas de penetración como Reaver, Bully y PixieWPS explotan esta falla estructural para adivinar cada combinación, extrayendo la contraseña activa de WPA/WPA2 en menos de dos horas.

Ataque de PIN de WPS frente a la seguridad corporativa estándar de WPA2/WPA3

Comparar la autenticación por PIN de WPS con los modelos de seguridad inalámbrica empresarial estándar ilustra la grave brecha en la resiliencia operativa:

Riesgos comerciales del mundo real al dejar WPS activo

Para los establecimientos comerciales modernos - que incluyen cadenas de retail, propiedades de hospitalidad, instalaciones de atención médica y oficinas multi-inquilino - ejecutar hardware con WPS habilitado presenta graves riesgos operativos para el negocio:

1. Intrusión no autorizada en la red de invitados

Los atacantes ubicados en los estacionamientos de los establecimientos o en las oficinas contiguas pueden ejecutar scripts automáticos de fuerza bruta de WPS contra los puntos de acceso cercanos. Una vez que se descifra el PIN, el atacante recibe la frase de contraseña en texto plano de la red, lo que le otorga acceso persistente al tráfico inalámbrico interno.

2. Movimiento lateral hacia puntos de venta (POS) y redes administrativas

Si el tráfico de invitados no está aislado en una VLAN dedicada con listas de control de acceso (ACL) estrictas, los routers con WPS comprometidos permiten a los atacantes escanear las subredes internas. Los atacantes pueden dirigirse a terminales de punto de venta (POS), sistemas de gestión de inventario y servidores corporativos.

3. Incumplimiento regulatorio y penalizaciones financieras

Dejar activos fallos de protocolo conocidos y sin parchar en las redes comerciales infringe los estrictos mandatos de seguridad de PCI-DSS (Requisito 1.2 y Requisito 2.2) y el GDPR. Las auditorías de seguridad realizadas tras un incidente de datos penalizarán a las organizaciones que no deshabiliten los protocolos obsoletos.

Cómo encontrar y desactivar WPS en routers comerciales

Garantizar la seguridad de la infraestructura de red empresarial requiere auditar los puntos de acceso inalámbricos existentes y desactivar por completo la funcionalidad WPS en todos los controladores de hardware.

Paso 1: Buscar botones físicos de WPS

Inspeccione los puntos de acceso existentes y el chasis del router para ver si tienen un botón físico de WPS o un ícono con dos flechas curvas. Aunque el hardware empresarial rara vez cuenta con botones físicos, los routers para pequeñas empresas suelen entregarse con WPS habilitado de forma predeterminada.

Paso 2: Iniciar sesión en el panel de administración del router

1. Abra un navegador conectado a la red local y diríjase a la dirección IP de la puerta de enlace (normalmente 192.168.1.1, 192.168.0.1 o la URL de la consola de administración del proveedor).
2. Autentíquese con las credenciales de administrador. Si las credenciales predeterminadas siguen sin cambios, actualícelas de inmediato para evitar accesos no autorizados.

Paso 3: Desactivar la configuración de WPS PIN y de botón de inserción

1. Diríjase a Wireless Settings, WLAN Configuration o Security Options.
2. Localice el interruptor o casilla de verificación de WiFi Protected Setup (WPS).
3. Establezca el interruptor en Disabled o Off. Asegúrese de que tanto la autenticación por PIN como la configuración por botón estén desactivadas.
4. Guarde los cambios de configuración y reinicie el punto de acceso para aplicar la nueva postura de seguridad.

Para obtener una gobernanza técnica integral en toda la infraestructura inalámbrica empresarial, revise nuestra guía principal de seguridad de WiFi empresarial.

Alternativas empresariales modernas a WPS

Las operaciones comerciales modernas requieren una incorporación segura y fluida para visitantes, empleados y hardware IoT sin depender de claves compartidas estáticas o protocolos PIN defectuosos:

• Captive Portals en la nube: Autentique a los visitantes mediante portales de inicio de sesión web personalizables que cuentan con inicio de sesión con redes sociales, verificación por SMS o registro mediante formulario web, mientras aísla el tráfico de invitados en VLANs seguras. Descubra los principios de diseño completos en nuestra guía de captive portal.
• Identity PSK (iPSK): Genere claves precompartidas individuales y únicas para dispositivos o usuarios específicos. Si una frase de contraseña se ve comprometida, los administradores de TI revocan esa única clave sin interrumpir al resto del establecimiento.
• WPA3-Enterprise y 802.1X: Aproveche los certificados digitales (EAP-TLS) y los proveedores de identidad en la nube (Microsoft Entra ID, Okta, Google Workspace) para una autenticación sin fricciones en las laptops de los empleados.

Preguntas frecuentes sobre la seguridad WPS del router

¿Es seguro usar WPS en una red WiFi empresarial?

No. WPS contiene vulnerabilidades de diseño estructural que permiten a las herramientas automatizadas descifrar por fuerza bruta el PIN de 8 dígitos en unas pocas horas. La Wi-Fi Alliance dejó obsoleto oficialmente el método PIN de WPS en 2011, y los marcos de seguridad exigen deshabilitar WPS en todas las redes comerciales.

¿Desactivar WPS desconecta los dispositivos WiFi existentes?

No. Deshabilitar WPS solo evita que nuevos dispositivos se conecten mediante el PIN de WPS o el método de botón pulsador. Todos los dispositivos existentes conectados mediante frases de contraseña estándar WPA2 o WPA3 permanecen totalmente conectados sin interrupción.

¿Cuál es la diferencia entre WPS PIN y la configuración de botón de inserción WPS (PBC)?

El PIN de WPS requiere ingresar un código numérico de 8 dígitos que es vulnerable a ataques remotos de fuerza bruta. La configuración por botón de WPS requiere presionar físicamente un botón en el router dentro de una ventana de dos minutos. Aunque la configuración por botón es más difícil de explotar de forma remota, muchos routers dejan la interfaz del PIN activa cuando esta opción está habilitada, manteniendo expuesta la vulnerabilidad subyacente.

¿Cuál es la mejor alternativa a WPS para un acceso WiFi de invitados seguro?

El estándar de oro para el WiFi de invitados comercial es un portal cautivo administrado en la nube con aislamiento automatizado de clientes y control de ancho de banda. Para el personal y los dispositivos internos, Identity PSK (iPSK) o la autenticación corporativa 802.1X proporcionan una administración de credenciales individualizada y sin fricciones, sin los riesgos de las contraseñas compartidas.

---