El Mikrotik es probablemente el mejor equipo de red que puede comprar un negocio pequeño en Colombia por lo que cuesta. Por trescientos o cuatrocientos mil pesos usted se lleva un router que hace cosas que en otras marcas valen tres millones. Por eso los proveedores de internet lo usamos por miles.
Y por eso mismo es tan peligroso el error que vamos a describir: lo instalan y lo dejan como salió de la caja. El equipo prende, da internet, el cliente queda contento, el instalador se va. Nadie configuró nada. Y ese "funciona" es la trampa.
Llevamos cinco años administrando estos equipos en una red de proveedor y entrando a negocios a recoger los pedazos. Le vamos a contar exactamente qué queda mal y qué revisar, aunque usted no sea técnico.
Por qué "funciona" no significa "está configurado"
RouterOS —el sistema del Mikrotik— viene con una configuración por defecto pensada para que el equipo arranque, no para que trabaje en producción. Eso significa que, si nadie tocó nada, es muy probable que su equipo esté así:
- Usuario
admin, con la contraseña de fábrica o sin contraseña. - Servicios de administración abiertos: Winbox (puerto 8291), API, FTP, Telnet y la interfaz web. Varios de ellos sin cifrado.
- Sin reglas de firewall que separen lo que viene de internet de lo que viene de adentro.
- Versión de RouterOS de hace años, sin actualizar.
- Toda la red plana: el WiFi de los clientes, las cámaras, el datáfono y el computador de contabilidad, todos en la misma red, viéndose entre sí.
- Sin respaldo de la configuración en ninguna parte.
Todo eso es invisible mientras las cosas van bien. Se vuelve visible el día malo.
«Funciona» significa que el equipo enruta paquetes. No significa que esté protegido, ni respaldado, ni ordenado. Son cosas distintas y solo una se nota desde el primer día.
Los cuatro costos reales de dejarlo así
1. Se lo secuestran, y usted lo nota como "internet lento"
Los Mikrotik expuestos a internet han sido blanco favorito de redes de bots durante años. La vulnerabilidad más conocida (identificada como CVE-2018-14847, en la interfaz Winbox) permitía leer credenciales de equipos sin actualizar, y decenas de miles de routers en el mundo fueron reclutados así para redes como Mēris, que en 2021 lanzó algunos de los ataques de denegación de servicio más grandes registrados hasta ese momento.
Lo importante para usted: un equipo comprometido no muestra un cartel. Se siente exactamente igual que un equipo malo. Internet lento, cortes raros, páginas que no abren. La gente compra otro router, lo instala igual de mal, y el problema sigue.
2. El día que se daña, no hay respaldo
Un Mikrotik bien configurado para un negocio tiene reglas de firewall, redes separadas, colas de tráfico, direcciones fijas para el datáfono y las cámaras, quizá una VPN. Eso son horas de trabajo. Si el equipo se quema —y en Colombia se queman por rayo y por picos de energía con toda tranquilidad— y no existe un archivo de respaldo, hay que rehacerlo todo desde cero, a la carrera y con el negocio parado.
Un respaldo son dos comandos y ocupa unos kilobytes. Es la diferencia entre veinte minutos y dos días.
3. Todo el mundo ve todo
Este es el que más nos preocupa en las empresas. Si la red es plana, el celular de cualquier cliente conectado al WiFi de cortesía está en el mismo segmento que el computador de facturación, las cámaras y el datáfono. No hace falta un hacker: basta un celular con un virus.
Y si su negocio maneja datos de personas —un consultorio, una clínica, una veterinaria, cualquier cosa con historia clínica o datos de salud— esto deja de ser un tema técnico y pasa a ser legal. La Ley 1581 de 2012 clasifica los datos de salud como sensibles (artículo 5), obliga al responsable a adoptar medidas de seguridad (artículo 4, literal g) y contempla multas de hasta 2.000 salarios mínimos legales mensuales. Con el salario mínimo de 2026, eso supera los tres mil quinientos millones de pesos. Nadie va a llegar a ese tope por una red plana, pero el punto es que la exposición existe y es del negocio, no del instalador.
4. Nadie sabe qué se hizo
El instalador que configuró el equipo se fue, no dejó documentación y no contesta. Ningún técnico nuevo quiere tocar un equipo así, porque cualquier cambio puede tumbar algo que no sabe que existe. El negocio queda amarrado a un equipo que nadie entiende.
Cómo revisar su equipo aunque no sea técnico
Pídale a quien administre su red que le muestre estas siete cosas. Si no puede mostrarlas, ahí tiene su respuesta:
- Usuarios. ¿Sigue existiendo el usuario
admin? Debe estar deshabilitado o eliminado, y en su lugar un usuario propio con contraseña larga. El FBI, en su alerta pública de mayo de 2025 sobre routers en desuso, recomendaba contraseñas de 16 a 64 caracteres. Eso aplica igual aquí. - Servicios abiertos. Telnet, FTP y la interfaz web sin cifrar deben estar apagados. Winbox y SSH, restringidos solo a direcciones de la red interna, nunca abiertos hacia internet.
- Versión de RouterOS. ¿Cuándo se actualizó por última vez? Si la respuesta es "nunca" o "cuando se instaló hace tres años", ese es el punto más urgente.
- Firewall. Debe existir un conjunto de reglas que bloquee por defecto lo que entra de internet. Un Mikrotik sin reglas de entrada es una puerta abierta.
- Respaldo. Pida el archivo de configuración exportado, con fecha. Guárdelo usted, no solo el técnico.
- Redes separadas. El WiFi de clientes debe estar en una red distinta —una VLAN o al menos una red de invitados aislada— sin acceso a los equipos internos.
- Hora y registros. El equipo debe tener la hora correcta (NTP) y guardar registros. Sin hora correcta, los registros no sirven para investigar nada.
Lo que cuesta hacerlo bien
Dejar un Mikrotik correctamente configurado para un negocio pequeño toma entre dos y cuatro horas de trabajo la primera vez. No es una obra: es una tarde. El equipo ya lo tiene, ya lo pagó, y probablemente está usando el diez por ciento de lo que sabe hacer.
La comparación que siempre les hacemos a nuestros clientes: usted no dejaría la caja registradora sin llave porque "igual nadie ha entrado". El router es la puerta por donde pasa la facturación, las cámaras, el datáfono y los datos de sus clientes.
Conclusión
El error no es comprar Mikrotik. El error es tratar un equipo profesional como si fuera un router de almacén: enchufar y olvidar. Un Mikrotik sin configurar le da internet hoy y le cobra caro el día que algo falle, y ese día siempre llega en el peor momento.
Si tiene un Mikrotik en su negocio y no sabe responder las siete preguntas de arriba, vale la pena revisarlo antes de que sea una urgencia. Una revisión ordenada cuesta una fracción de lo que cuesta un día con el negocio parado.
¿Tiene un Mikrotik y nadie sabe qué se le hizo?
En el diagnóstico gratis revisamos su router y su red en su sede, y le dejamos un informe escrito con lo que está expuesto y qué hacer primero. Sin costo y sin compromiso.
Agendar diagnóstico gratis Para empresas de Yumbo y Cali.Preguntas frecuentes
¿Es peligroso dejar un Mikrotik con la configuración de fábrica?
Sí. De fábrica RouterOS trae el usuario admin sin contraseña propia, servicios de administración abiertos (Winbox, API, FTP, Telnet, web), sin reglas de firewall de entrada y sin respaldo. Los Mikrotik expuestos a internet han sido blanco de redes de bots durante años, y un equipo comprometido se siente exactamente igual que un equipo lento.
¿Cómo sé si mi Mikrotik está bien configurado?
Pídale a quien lo administre que le muestre siete cosas: que el usuario admin esté deshabilitado, que telnet y FTP estén apagados y Winbox no esté abierto a internet, la fecha de la última actualización de RouterOS, las reglas de firewall de entrada, el archivo de respaldo con fecha, el WiFi de clientes en una red separada, y la hora y los registros activos. Si no puede mostrarlas, ahí tiene su respuesta.
¿Qué es una red plana y por qué es un riesgo para un negocio?
Es una red donde todos los equipos están en el mismo segmento y se ven entre sí: el celular de cualquier cliente conectado al WiFi de cortesía queda junto al computador de facturación, las cámaras y el datáfono. No hace falta un atacante experto, basta un celular con un virus. Si además maneja datos de salud, la Ley 1581 de 2012 los clasifica como sensibles y obliga al responsable a adoptar medidas de seguridad.
¿Cuánto cuesta dejar bien configurado un Mikrotik?
Dejar un Mikrotik correctamente configurado para un negocio pequeño toma entre dos y cuatro horas de trabajo la primera vez. No es una obra, es una tarde. El equipo ya está comprado y probablemente está usando el diez por ciento de lo que sabe hacer.