Seguridad de la red doméstica y los dispositivos

Asegure todo el sistema, no solo la contraseña del Wi-Fi

Una red doméstica incluye el enrutador, el módem o la puerta de enlace de fibra, la cuenta en la nube del proveedor, la aplicación de gestión, los teléfonos, las computadoras, los televisores, las cámaras, los altavoces, los electrodomésticos, las consolas de juegos, las impresoras, y a veces dispositivos médicos o de trabajo. Una contraseña de Wi-Fi fuerte es útil, pero no puede compensar un enrutador sin soporte, una página de administración remota expuesta, una cuenta de proveedor comprometida, o un dispositivo que nunca recibe actualizaciones de seguridad.

La IA puede ayudar a los delincuentes a redactar mensajes convincentes y adaptar técnicas de ataque conocidas, pero los hogares no deberían responder comprando primero una suscripción de “seguridad con IA”. Las prioridades actuales para el consumidor de CISA siguen siendo el reconocimiento de phishing, las contraseñas fuertes y únicas, el MFA, y las actualizaciones oportunas de software. Aplique esos controles de forma sistemática, comenzando por el enrutador y las cuentas que gestionan otros dispositivos.

Haga un inventario de lo conectado

Abra la lista de dispositivos del enrutador o la aplicación de gestión desde un dispositivo de confianza. Cree un inventario simple: nombre del dispositivo, propietario, propósito, tipo de conexión, cuenta del proveedor, estado de actualización automática, y fecha esperada de fin de soporte. Las entradas desconocidas no son automáticamente intrusos —los dispositivos a menudo usan nombres oscuros o direcciones aleatorias— pero investíguelas. Apague un dispositivo sospechoso o desconéctelo temporalmente y vea qué desaparece.

Retire el equipo que ya no se usa. Un producto conectado con una aplicación abandonada o soporte vencido sigue ampliando la red. Antes de comprar un dispositivo nuevo, pregunte si admite actualizaciones automáticas, credenciales únicas, MFA para su cuenta en la nube, reporte de vulnerabilidades, y un período de soporte declarado. La línea base de IoT para consumidores de NIST se enfoca en todo el ecosistema del producto, incluidas las aplicaciones y los servicios de backend, no solo en el dispositivo físico.

Configure el enrutador de forma deliberada

Use el método documentado del proveedor o del proveedor de internet para acceder al enrutador; no siga un enlace de inicio de sesión en un mensaje no solicitado. Luego:

• Instale el firmware actual y active las actualizaciones automáticas de seguridad si son compatibles.
• Reemplace la credencial de administrador predeterminada por una contraseña única almacenada en un gestor de contraseñas.
• Proteja la cuenta en la nube del proveedor con MFA o una passkey donde esté disponible.
• Desactive la administración remota expuesta a internet a menos que haya una necesidad específica y segura.
• Use WPA3-Personal cuando todos los dispositivos esenciales lo admitan; de lo contrario, use WPA2-AES. Evite los modos obsoletos WEP y WPA.
• Desactive las funciones de PIN de Wi-Fi Protected Setup si no se necesitan.
• Cambie el nombre de la red para que no revele un apellido, un apartamento, una dirección, o un modelo de enrutador.
• Guarde una copia de seguridad de la configuración si el producto lo admite, y sepa cómo restablecer y recuperar el enrutador.

El perfil de enrutadores de nivel consumidor de NIST trata la configuración segura, las actualizaciones, el control de acceso, la protección de datos, la seguridad de la interfaz, y la documentación del producto como requisitos conectados entre sí. Si un enrutador ya no recibe correcciones, reemplazarlo puede ser más útil que agregar otro dispositivo de seguridad.

Anote quién es dueño de la cuenta del proveedor de internet y cómo contactar al proveedor sin usar el internet de casa. Las puertas de enlace suministradas por el proveedor pueden restringir configuraciones o actualizarse automáticamente; confírmelo en lugar de asumirlo. Cambiar la configuración de DNS, firewall, o puente sin entenderla puede interrumpir el servicio y no es necesario para una línea base razonable del hogar.

Segmente los dispositivos cuando el enrutador lo permita

Coloque los dispositivos de visitantes en una red de invitados. Si el enrutador ofrece una red de IoT aislada, úsela para dispositivos inteligentes de menor confianza, como televisores, altavoces, enchufes, electrodomésticos, y cámaras, mientras mantiene en la red principal las computadoras y los teléfonos que acceden a registros sensibles. Confirme que el aislamiento de “invitados” o “IoT” realmente impide que esos dispositivos lleguen a la red principal; las implementaciones de los productos varían.

La segmentación no es una cura. Muchos productos inteligentes se comunican a través de la nube del proveedor, y una cuenta en la nube comprometida puede afectar a un dispositivo sin importar su ubicación en la red local. Algunos dispositivos necesitan comunicación local con un teléfono, un hub, una impresora, o un controlador de accesibilidad, así que pruebe las funciones del hogar después de moverlos.

No coloque el equipo gestionado por el empleador en una configuración improvisada que viole la política laboral. Siga las reglas de VPN, actualización, y reporte de incidentes del empleador. Si el enrutador admite una red de trabajo separada y el empleador lo permite, eso puede reducir la interacción con los dispositivos personales y de IoT.

Mantenga cada dispositivo con soporte

Active las actualizaciones automáticas del sistema operativo, el navegador, las aplicaciones, y el software de seguridad. Reinicie los dispositivos según se requiera para completarlas. Elimine las extensiones de navegador y aplicaciones sin usar; cada una puede tener permisos o credenciales. Use cuentas de usuario estándar para el uso cotidiano de la computadora cuando sea práctico, en lugar de una cuenta de administrador.

Los teléfonos y las tabletas deben tener un código de desbloqueo no trivial, cifrado, actualizaciones automáticas, y una función de localización/bloqueo configurada. Haga copias de seguridad de los datos irremplazables y pruebe que la recuperación funcione. Una copia de seguridad conectada continuamente a una sola computadora puede verse afectada por malware o eliminación accidental, así que mantenga una versión adicional aislada o use un servicio con historial de versiones.

Las impresoras, el almacenamiento en red, las cámaras, y los hubs de automatización del hogar merecen la misma atención que las laptops. Cambie las credenciales predeterminadas, actualícelas, desactive los servicios que no usa, y evite exponer sus interfaces directamente a internet. Si un producto requiere reenvío de puertos para funcionar, entienda exactamente qué servicio se vuelve accesible y busque orientación del proveedor o de un profesional.

Asegure las cámaras inteligentes, los altavoces y los dispositivos médicos

Trate las cámaras y micrófonos de interior como sensibles. Limite dónde se colocan, quién puede verlos, cómo se retienen los clips, y si las integraciones de terceros son necesarias. Use inicios de sesión separados por miembro del hogar en lugar de un solo administrador compartido cuando el servicio ofrezca roles. Elimine con prontitud a antiguos residentes, invitados, instaladores, y dispositivos obsoletos.

Para los dispositivos médicos o de salud conectados, la disponibilidad puede importar tanto como la confidencialidad. Siga las instrucciones del clínico, del fabricante, y del proveedor. No bloquee el acceso a la nube, no restablezca de fábrica un monitor, ni lo mueva entre redes durante el cuidado sin confirmar las consecuencias. El trabajo de NIST sobre telesalud e integración de hogar inteligente enfatiza que los componentes de hogar inteligente para el consumidor añaden dependencias de privacidad y ciberseguridad al cuidado basado en el hogar.

Haga de la resistencia al phishing parte de la seguridad de red

Un atacante no necesita explotar el enrutador si un miembro del hogar instala software de acceso remoto, aprueba un inicio de sesión malicioso, o divulga un código. Ignore la vieja prueba de la “mala gramática”. Verifique al remitente y la acción solicitada.

No haga clic en un enlace de “renovación” de un enrutador, antivirus, servicio de streaming, o utilidad, proveniente de un mensaje inesperado. Abra la aplicación conocida o escriba la dirección del servicio. Nunca proporcione un código de inicio de sesión de un solo uso a quien llama. No instale una herramienta de pantalla compartida porque una ventana emergente afirme que la computadora está infectada. Si una llamada de soporte es necesaria, inícela usted mismo a través de un número verificado.

Use un gestor de contraseñas y credenciales únicas para el enrutador, el proveedor de internet, el correo electrónico, los proveedores de dispositivos, y las cuentas de streaming. Prefiera passkeys o llaves de seguridad de hardware donde estén disponibles. Vea Fortalecimiento de la identidad digital para los detalles de recuperación y autenticadores de respaldo.

Monitoree sin convertirse en su propio centro de operaciones de seguridad

Active las notificaciones para nuevos inicios de sesión de administrador, cambios de contraseña, dispositivos nuevos, y funciones de seguridad desactivadas. Revise la lista de dispositivos conectados del enrutador y las sesiones de la cuenta del proveedor varias veces al año. Los registros y alertas excesivos que nadie lee no son protección; elija señales vinculadas a una acción.

Las señales de advertencia incluyen configuraciones que cambian sin explicación, avisos repetidos de MFA, un nuevo administrador, cámaras que se mueven o activan inesperadamente, reenvíos de puertos no reconocidos, uso de datos inexplicable, o dispositivos que redirigen a páginas inusuales. La lentitud de internet por sí sola no es prueba de compromiso.

Si un compromiso es plausible, desconecte el dispositivo afectado de la red sin destruir la evidencia. Use otro dispositivo de confianza para asegurar el correo electrónico principal, el gestor de contraseñas, el enrutador, y las cuentas del proveedor; revoque las sesiones; contacte al ISP o al fabricante; y documente lo ocurrido. Un restablecimiento de fábrica puede eliminar evidencia útil y no corrige una credencial en la nube robada, así que no lo convierta en la primera respuesta automática. Para pérdidas materiales o delitos, denuncie a través de IC3.gov y los canales locales apropiados.

Un ciclo práctico de mantenimiento

Esta semana: actualice el firmware del enrutador, cambie su credencial de administrador, asegure las cuentas del proveedor y del proveedor de internet, active las actualizaciones automáticas de los dispositivos, y cree una red de invitados.

Este mes: haga inventario de los dispositivos, elimine productos y cuentas sin usar, separe los dispositivos IoT compatibles, revise las cámaras y micrófonos, y pruebe las copias de seguridad.

Dos veces al año: verifique el soporte de firmware, los miembros de la cuenta, los métodos de recuperación, los dispositivos conectados, los reenvíos de puertos, y la restauración de copias de seguridad. Reemplace el equipo sin soporte según un calendario planificado.

El objetivo no es una fortaleza perfecta. Es una red cuyos dispositivos son conocidos, tienen soporte, están actualizados, mínimamente expuestos, y son recuperables, más un hogar que no otorgará acceso simplemente porque un mensaje pulido o una voz realista lo pida.