Pentesting WiFi empresarial: qué debe incluir una evaluación autorizada
Por Carlos Isidoro De Ayala Diaz ·
Pentesting WiFi empresarial: cómo definir alcance, sedes, redes, horarios, pruebas y evidencias para evaluar la seguridad inalámbrica sin alterar la operación.
Delimita el alcance físico y lógico antes de emitir señal de prueba
Una evaluación inalámbrica empieza con un inventario que relacione sedes, plantas, zonas, SSID, puntos de acceso, controladores, bandas y segmentos de red. También identifica quién administra cada componente, si la gestión está en la nube y qué redes atienden a empleados, invitados, dispositivos corporativos, terminales de almacén o equipos conectados. El nombre visible de una red no basta para saber a qué infraestructura pertenece ni qué acceso proporciona.
La autorización debe indicar direcciones, áreas desde las que puede trabajarse, fechas, horario, contactos y criterios de parada. La señal de radio atraviesa paredes y puede alcanzar la vía pública o negocios próximos. Por eso se registran BSSID y otros identificadores técnicos para distinguir los puntos incluidos de redes vecinas con nombres parecidos. Detectar una red ajena no autoriza a interactuar con ella ni a incorporarla al informe del cliente como objetivo.
El alcance también concreta qué técnicas están permitidas. Las pruebas que pueden desconectar clientes, alterar la asociación o aumentar la carga necesitan una decisión expresa y una ventana coordinada. Si la disponibilidad es crítica, se excluyen o se reproducen en un entorno controlado. NIST SP 800-115 recomienda planificar las evaluaciones, analizar sus consecuencias y acordar la respuesta ante incidentes; la naturaleza inalámbrica no elimina esas obligaciones.
Conviene separar la red del equipamiento cliente. Evaluar la configuración de puntos de acceso y segmentación no implica examinar portátiles o teléfonos personales. Si se incluyen dispositivos, se define qué modelos, cuentas y datos pueden observarse, cómo se minimizan las capturas y quién las custodiará. La propuesta debe dejar claro si cubre una sede, varias ubicaciones o una muestra representativa, evitando presentar una visita limitada como revisión de toda la organización.
Evalúa autenticación, configuración y separación entre redes
El trabajo no se reduce a intentar averiguar una contraseña. Revisa el modelo de autenticación, el cifrado negociado, el uso de credenciales compartidas o identidades individuales, la validación de certificados, la configuración de WPS, el firmware y el acceso a la administración. También comprueba cómo se incorporan y retiran usuarios y dispositivos. NIST SP 800-153 sitúa la seguridad de clientes, puntos de acceso y componentes de gestión dentro del ciclo completo de diseño, despliegue, mantenimiento y monitorización.
La segmentación se valida con cuentas y dispositivos de prueba. Una red de invitados debería limitar el acceso a sistemas internos y, cuando proceda, impedir la comunicación innecesaria entre clientes. Las redes para equipos corporativos, operaciones e IoT pueden requerir políticas distintas. El informe documenta el recorrido realmente observado y los controles que lo detienen; no deduce aislamiento por el nombre de una VLAN o por una captura de la consola de administración.
Los puntos de acceso no autorizados y la suplantación de redes legítimas forman parte del riesgo que describe INCIBE. Su evaluación debe diseñarse sin capturar credenciales reales de personas desprevenidas. Pueden emplearse identidades de prueba, avisos coordinados y límites de ubicación y tiempo. Si el objetivo incluye valorar si los equipos validan correctamente el servidor de autenticación o cómo responde el personal ante una red falsa, esa modalidad se autoriza y documenta por separado.
Las capturas de tráfico, material de autenticación y claves de laboratorio se tratan como evidencias sensibles. Se limita su volumen, se cifra su almacenamiento y se acuerda cuándo se eliminan. Las comprobaciones fuera de línea no justifican conservar datos que no aportan evidencia. Las pruebas de denegación de servicio, interferencia o disponibilidad suelen requerir condiciones específicas porque pueden afectar a más usuarios y frecuencias que el objetivo previsto; no se consideran incluidas por defecto.
Relaciona cada hallazgo con una evidencia y un impacto comprobable
Una evidencia inalámbrica debe permitir identificar el activo sin confundirlo con otro: sede o zona, SSID, BSSID, canal o banda, fecha, condición observada y cuenta de prueba cuando corresponda. Las capturas se reducen a los paquetes necesarios y se ocultan identificadores de personas o dispositivos que no forman parte del hallazgo. La ubicación aproximada ayuda a reproducir la observación, pero no debe revelar más información física de la necesaria para corregirla.
El informe distingue configuración débil, vulnerabilidad comprobada y escenario potencial. Ver una red con un protocolo determinado no demuestra acceso a datos internos. Del mismo modo, recuperar una credencial de prueba acredita una condición concreta, pero el impacto depende de lo que esa identidad pueda alcanzar, de la segmentación y de los controles posteriores. La prioridad combina facilidad de explotación, proximidad necesaria, persistencia, privilegios, datos y procesos afectados.
Los resultados se traducen en acciones verificables: retirar WPS cuando no sea necesario, sustituir claves compartidas, reforzar la validación de certificados, separar invitados, actualizar componentes, restringir administración o mejorar la detección de puntos no autorizados. La recomendación señala dependencias y riesgo de cambio. Ejecutar esas acciones no forma parte automáticamente del pentest y puede necesitar al proveedor de red, ventanas de mantenimiento y un plan de reversión.
Una segunda comprobación confirma hallazgos concretos después de aplicar cambios. Debe indicar qué condiciones se repitieron, con qué configuración y resultado. No equivale a rehacer toda la evaluación ni demuestra que no existan otras debilidades. El cierre conserva los límites y las redes que no pudieron probarse, de forma que dirección sepa qué conclusión sostiene el informe y qué parte permanece pendiente.
Prepara la sede y compara propuestas con criterios técnicos claros
Antes de la visita, la empresa designa un contacto de sistemas y otro de operaciones, comparte un esquema actualizado, prepara cuentas de prueba y confirma las ventanas en las que puede interrumpirse una conexión. También acuerda cómo avisar si la monitorización detecta actividad del equipo evaluador. Esta coordinación evita que una prueba autorizada active una respuesta innecesaria y, a la vez, permite comprobar si los controles generan registros útiles.
Una propuesta comparable identifica ubicaciones, redes, técnicas permitidas, equipamiento del cliente, accesos, duración, horarios, exclusiones y entregables. Debe explicar si incluye revisión de configuración, observación radio, validación de segmentación, puntos de acceso no autorizados, pruebas sobre autenticación o retest. Un estudio de cobertura y rendimiento puede complementar el trabajo, pero responde a objetivos distintos y no debe presentarse como prueba de penetración.
La certificación OSWP de Offensive Security acredita formación práctica orientada a redes 802.11, reconocimiento, cifrado, puntos de acceso no autorizados y documentación técnica. Es una referencia pertinente al evaluar capacidad del equipo, pero no garantiza el resultado ni amplía la autorización del proyecto. El valor para el cliente depende de aplicar ese conocimiento con alcance escrito, evidencias mínimas, confidencialidad y recomendaciones que su infraestructura pueda adoptar.
Élite Solutions Tech puede definir desde Murcia una evaluación WiFi para empresas regionales o proyectos con sedes en distintas provincias. La propuesta especificará las modalidades, el alcance, las actuaciones de corrección y si incluye una segunda comprobación. Para preparar una primera valoración puedes indicar en el formulario de contacto el número de sedes, redes y tipos de usuario, sin enviar claves WiFi, direcciones internas ni capturas de tráfico.