Redes
VPN de Check Point: un fallo crítico permitía entrar sin contraseña
La vulnerabilidad CVE-2026-50751 se explotaba desde mayo y al menos un caso se relaciona con el ransomware Qilin. Las VPN siguen siendo la puerta favorita.
2 min de lectura
En muchas empresas la wifi tiene una sola clave. Se la sabe la plantilla, algún proveedor, varios antiguos empleados y, con bastante probabilidad, está escrita en una pizarra de la sala de reuniones. Cambiarla es tan molesto que casi nunca se hace, y el resultado es una puerta de entrada a la red que no controla nadie.
En 30 segundos
- Una clave compartida no distingue entre quien trabaja aquí y quien se fue hace años.
- Con identidad, cada persona o equipo entra con su propia credencial.
- Lo ideal son tres redes: corporativa, invitados y dispositivos.
- Si el cambio está bien planteado, la plantilla solo nota que la wifi se conecta sola.
La clave que todo el mundo conoce
La clave compartida tiene un defecto de origen: no sabe quién la usa. Para la red, el portátil de la directora financiera y el móvil de alguien que dejó la empresa hace dos años son exactamente iguales, porque ambos conocen la misma contraseña.
Cambiarla tampoco arregla mucho. Hay que comunicarla de nuevo a todo el mundo, reconfigurar cada equipo, cada impresora y cada pantalla de la sala de reuniones, y atender durante días las consultas de quien se ha quedado sin conexión. Así que se pospone, y la clave se convierte en eterna.
Si esa wifi da acceso a la red interna, cualquiera que la conozca y esté lo bastante cerca del edificio, en el aparcamiento o en la oficina de al lado, tiene un pie dentro.
Cada persona con su propio acceso
La alternativa es que la wifi corporativa pida identidad en lugar de una clave común. Hay dos formas habituales de hacerlo:
- Con la cuenta de la empresa: cada persona se conecta con el mismo usuario con el que entra al correo.
- Con un certificado: un pequeño archivo de identidad digital que se instala en el equipo al prepararlo. El portátil se presenta solo ante la red, sin que nadie escriba nada. Es la opción más cómoda y la más robusta.
La gran ventaja aparece el día que alguien se va. Se desactiva su cuenta, o se retira el certificado de su equipo, y deja de tener acceso. Nadie más se entera. No hay que cambiar ninguna clave ni reconfigurar ningún dispositivo.
Una buena wifi corporativa sabe quién entra, no solo qué contraseña se ha escrito.
Tres redes, tres propósitos
La identidad resuelve quién entra. La separación de redes resuelve a qué llega cada uno. Lo razonable en la mayoría de las oficinas es contar con tres:
- Corporativa: para los equipos de la empresa, con acceso a los recursos internos. Solo se entra con identidad.
- Invitados: solo internet, con una clave que se renueva o con un acceso temporal, separada por completo de la red interna. La visita navega, pero no ve nada de la casa.
- Dispositivos: para impresoras, pantallas o sensores que no saben autenticarse como una persona, con acceso únicamente a lo que necesitan.
Un detalle que se olvida
Los móviles personales de la plantilla. Si quieres que consulten el correo desde la oficina, normalmente les basta con la red de invitados o con una red propia para dispositivos personales, sin acceso a lo interno. Decídelo antes del cambio y comunícalo, porque será la primera pregunta que te hagan.
Lo que hace falta en la práctica
No es un proyecto de obra nueva. Los ingredientes son tres:
- Puntos de acceso de gama empresarial que permitan autenticación por identidad. En la mayoría de las oficinas se puede reutilizar buena parte de lo que ya hay.
- Un servicio que valide las credenciales, que en muchos casos se integra con Microsoft Entra ID (el directorio de usuarios de Microsoft 365) e Intune (la herramienta que gestiona los equipos y les instala, entre otras cosas, el certificado).
- Una mínima planificación de la red: qué redes habrá, qué ve cada una y cómo se separan en el firewall.
Si tus portátiles ya se gestionan con Intune, buena parte del camino está andado: el certificado se reparte de forma automática y la conexión queda configurada sin que nadie toque el equipo.
Cómo se vive el cambio en la oficina
Si el cambio está bien planteado, la plantilla apenas lo percibe. El portátil de empresa se conecta solo al llegar, igual que en casa, y nadie tiene que preguntar la clave. Las visitas tienen su propia red y su acceso, sin tocar nada interno. Recepción deja de ser la oficina de información de contraseñas.
Imagina una empresa de 40 personas repartidas en dos plantas. Lo habitual es empezar por un grupo reducido, comprobar que todo va fino, y después pasar planta a planta, manteniendo la red antigua unos días como red de respaldo. Cuando todos los equipos están en la nueva, la antigua se apaga sin ceremonia.
Lo que gana la empresa
Además de cerrar una puerta que llevaba años abierta, la empresa gana trazabilidad: se sabe qué equipo se conectó, cuándo y a qué red. Las altas y bajas de personal dejan de tener un apartado de wifi, porque quedan resueltas con la propia cuenta. Y las visitas, los proveedores y los dispositivos dejan de compartir espacio con los datos de la empresa.
En OLATIC empezamos midiendo la cobertura y revisando la electrónica que ya tienes, para aprovechar todo lo posible. Después diseñamos las tres redes, preparamos los certificados desde Intune y hacemos el cambio por plantas o por sedes, sin dejar a nadie sin conexión ni un solo día.