La semana pasada me llamó un chico que tiene un local de ropa deportiva. Me dijo: «Lucía, me entró un cliente, se conectó al Wi‑Fi, y al rato me llegó un mail de Mercado Pago diciendo que intentaron entrar desde un dispositivo nuevo». No era un ataque sofisticado. Era que la red del local estaba abierta, sin contraseña, y alguien se colgó para hacer phishing desde ahí. Lo vi mil veces: el Wi‑Fi del negocio es la puerta de entrada que nadie mira. Y no es caro arreglarlo, es ordenado.
Lo primero: separá la red de pagos de la del resto
El Banco Central lo dice claro en su Guía de seguridad para puntos de venta: los terminales de pago tienen que ir en una red distinta a la que usan los empleados o los clientes. Si todo está en la misma, cualquiera que se conecte puede, en teoría, ver el tráfico de la terminal. En criollo: pedile al que te instaló el router que cree dos redes. Una la llamás «Pagos» y la otra «Local». La de pagos solo la usan las máquinas de cobro. La otra, para todo lo demás.
El cifrado no es negociable: WPA2‑Enterprise o WPA3
Mercado Pago, en su ayuda oficial, exige que la red donde se conectan sus terminales esté encriptada con WPA2‑Enterprise o WPA3. ¿Qué significa eso? Que no alcanza con la clave que te da el router de fábrica. WPA2‑Enterprise usa un servidor RADIUS para autenticar cada dispositivo. Suena a chino, pero muchos routers modernos lo traen o podés contratar un servicio de configuración por dos mangos. Si tu router es viejo y solo soporta WPA2‑Personal, al menos asegurate de que sea WPA2 (nunca WEP, que es papel mojado) y que la contraseña no sea «12345678» ni «admin».
Cambiá la contraseña cada 90 días y usá una que duela
La AAIP recomienda rotar la clave de la red cada tres meses. Y no una clave pedorra: mínimo 12 caracteres, con mayúsculas, minúsculas, números y símbolos. Te lo simplifico: usá un gestor de contraseñas (yo soy fanática, lo sabés) y que genere una clave al azar. La anotás en el gestor y la compartís con los empleados desde ahí, no por WhatsApp. Si tenés empleados que rotan, cuando se va uno, cambiás la clave. Así de simple.
Apagá la difusión del SSID y activá el filtrado MAC
La AAIP también dice: desactivá que el nombre de tu red se vea público. No es una medida infalible, pero saca de la mira a tu negocio. Y si podés, activá el filtrado por dirección MAC: solo los dispositivos que vos autorices (la terminal, la compu de la caja, el celu del dueño) pueden conectarse. Los clientes, si necesitan Wi‑Fi, que usen una red de invitados separada, con otra clave que cambiás cada tanto.
Actualizá el firmware del router (y no lo dejes en el cajón)
Mercado Pago insiste: mantener el firmware del router actualizado. Parece una pavada, pero el 90% de los routers que veo en los comercios tienen una actualización pendiente desde hace dos años. Entrá a la configuración del router (generalmente desde el navegador, con la IP 192.168.0.1 o 192.168.1.1) y fijate si hay una opción de «Actualización de firmware». Si no sabés cómo, pedile a alguien que sepa o al que te instaló el servicio. Es una hora de laburo que te ahorra dolores de cabeza.
Monitoreá los accesos: quién se conecta y cuándo
El BCRA pide políticas de monitoreo de accesos. No necesitás un sistema caro: la mayoría de los routers tienen un log de conexiones. Una vez por mes, mirá si hay dispositivos raros. Si ves uno que no conocés, cambiá la clave ya. Y si usás WPA2‑Enterprise con RADIUS, cada usuario tiene su propia credencial, así que sabés exactamente quién entró.
¿Puedo usar la misma red para los clientes y para cobrar?
No, si querés cumplir con lo que pide el BCRA y proteger los datos de pago. Separá las redes. Es más laburo al principio, pero después dormís tranquilo.
¿Qué hago si mi router no soporta WPA2‑Enterprise?
Si tu router es muy viejo, considerá comprar uno nuevo que lo soporte. No es caro: hay modelos desde 30 mil pesos que lo traen. O contratá un servicio de configuración de redes para pymes.
¿Cada cuánto cambio la contraseña de la red?
Cada 90 días, como recomienda la AAIP. Y cada vez que se va un empleado o detectás un dispositivo extraño.
¿El filtrado MAC es suficiente para proteger la red?
No, es una capa más, no la única. Combinálo con cifrado fuerte, cambio periódico de clave y monitoreo. No te confíes solo con eso.
¿Los clientes pueden usar la red del local?
Sí, pero en una red de invitados separada, con otra clave que cambiés seguido. Nunca en la misma red donde están los cobros.
Esta semana, sentate 20 minutos con el router. Fijate qué cifrado tiene, si hay actualización de firmware, y si podés separar la red de pagos. Si no sabés, llamá a alguien que sepa. No es caro, es ordenado. Y el dato del cliente es prestado, no tuyo. 🔒
Cada negocio es distinto; tomá esto como guía y, ante un fraude o filtración en curso, contactá los canales oficiales y, si corresponde, hacé la denuncia.
Asesora de pymes, cinco años en el soporte de una fintech. Escribe sobre datos de clientes, antifraude y seguridad del negocio, en criollo.
Mas sobre Lucía Sandoval
Lucía trabajó cinco años en el soporte de una fintech, atendiendo a comercios que se comían fraudes, contracargos y cuentas hackeadas. Vio de todo, y vio que casi siempre se podía evitar. Ahora asesora a pymes y emprendedores para que protejan los datos de sus clientes y la plata del negocio sin volverse locos ni gastar una fortuna. No promete blindajes mágicos: enseña lo que de verdad mueve la aguja. Voz de Negocio Blindado, con asistencia de IA.
