Falla en routers MikroTik permite tomar el control sin contraseña: revisa hoy el router de tu empresa o sucursal

El 23 de septiembre de 2026 se publicó una cadena de ataque contra routers MikroTik, bautizada MikroTrick, que permite tomar el control del equipo sin contraseña y sin llave SSH, según reportó The Hacker News. El mismo día, BleepingComputer recogió el reporte InfraTrust, que avisa que los sistemas de gestión de red ya están bajo ataque.

¿Y a ti qué? Pues que MikroTik es el router más común en pymes, sucursales y proveedores de internet locales de México. Si tu oficina o tu tienda salen a internet por una caja blanca con antenas que instaló el del ISP hace años, es muy probable que sea uno. Todavía no hay explotación masiva confirmada. Justo por eso conviene moverse hoy y no mañana.

Cómo saber si tu empresa tiene un MikroTik

Si alguien administra el router con un programa llamado Winbox, una ventanita con muchas pestañas, es MikroTik. Si al entrar por el navegador ves un panel llamado WebFig, también. RouterOS es el sistema operativo de estos routers, y ahí vive la falla.

En nuestra experiencia, muchas pymes no saben ni quién lo configuró. Lo dejó el técnico del proveedor de internet, funcionó, y nadie lo volvió a tocar. Ese router sin dueño, con el usuario admin de fábrica, es el que más nos preocupa.

Qué hacer hoy, en este orden

1. Actualiza RouterOS a la versión más reciente de la rama estable, desde el menú System y luego Packages. Hazlo fuera de horario: el router se reinicia y la oficina se queda sin internet unos minutos.
2. Cambia la contraseña de admin. Si el usuario admin sigue sin contraseña o con la que venía en la etiqueta, ponle una larga hoy. Mejor todavía, crea otro usuario con nombre distinto y desactiva admin.
3. Cierra la administración a internet. Winbox, WebFig y la API solo deben responder desde tu red interna.

Servicio	Puerto habitual	Qué hacer
Winbox	8291	Solo desde la red interna o por VPN
WebFig (panel web)	80 y 443	Solo desde la red interna o por VPN
API	8728 y 8729	Desactivar si nadie la usa
Telnet y FTP	23 y 21	Desactivar
SSH	22	Solo por VPN, con llave

Administra el router por VPN, no desde la calle

Si tu proveedor de soporte, o tu gerente de TI en Monterrey, necesita entrar al router de la sucursal de Mérida, la puerta correcta es una VPN: un túnel cifrado que te mete a la red interna. Una vez dentro, abres Winbox como siempre.

Lo que no debe pasar es que Winbox le conteste a cualquiera en internet. Es la misma lógica que ya explicamos para las cámaras IP expuestas y para el firewall Zyxel: lo que administra tu red no se asoma a la calle.

Señales de que ya te lo tomaron

Antes de actualizar, échale un ojo a esto. Si el router ya fue tomado, parchar no saca al intruso.

• DNS cambiados. En IP y luego DNS aparecen servidores que tú no pusiste. Es el truco favorito: desvían el tráfico de la oficina a donde ellos quieren.
• Reglas raras. Entradas de NAT o firewall que nadie reconoce, o scripts programados en System y luego Scheduler.
• Usuarios nuevos en System y luego Users, o un admin que ya no acepta tu contraseña.
• Tráfico saliente inusual, sobre todo de noche, cuando la oficina está vacía.
• Un proxy o un túnel VPN que tú no configuraste.

Hablemos

¿Y en tu empresa?

Si tienes una oficina y un MikroTik, esto se resuelve en una tarde. Si tienes ocho sucursales y cada una con un router que instaló un proveedor distinto, hace falta un inventario y un plan.

En ProcessBi hacemos la revisión remota del router el mismo día: versión, servicios expuestos, DNS y reglas. El hardening, la segmentación de red y, si el equipo ya no da para más, el reemplazo, entran dentro de la póliza de soporte. Y si el router está en una bodega sin nadie de sistemas, vamos nosotros: tenemos servicio en campo en todo México.

Pide tu revisión del router — respondemos el mismo día hábil.