Hardening de Roteadores Wi-Fi: Bloqueio de UPnP, WPS e Atualização de Firmware

Edson Feitosa de Oliveira Júnior

Fundador & Desenvolvedor Full Stack

O roteador é o porteiro da rede da sua casa ou empresa. Tudo passa por ele, e mesmo assim ele costuma ficar anos com a configuração de fábrica, senha padrão e firmware desatualizado. Roteadores vulneráveis são usados para redirecionar visitas a sites falsos, espionar o tráfego e formar redes de ataque (botnets). Este guia mostra como "endurecer" (hardening) o roteador em poucos passos.

Como acessar o painel do roteador

1. No Windows, abra o Prompt de Comando e digite ipconfig. O "Gateway Padrão" é o endereço do roteador, geralmente 192.168.0.1 ou 192.168.1.1.
2. Digite esse endereço no navegador.
3. Entre com o usuário e senha de administrador, que costumam estar na etiqueta embaixo do aparelho.

Se o roteador é da operadora, algumas opções podem estar bloqueadas. Nesse caso, peça à operadora ou considere usar um roteador próprio atrás do modem.

1. Troque a senha de administrador

Senhas padrão como "admin/admin" são as primeiras que um atacante tenta. Crie uma senha longa e única para o painel, diferente da senha do Wi-Fi, e guarde num gerenciador de senhas.

2. Atualize o firmware

O firmware é o sistema do roteador. Fabricantes corrigem falhas graves por meio de atualizações, mas muitos aparelhos nunca são atualizados.

• Procure a opção Atualização de firmware ou Sistema no painel.
• Ative a atualização automática, se existir.
• Baixe firmware só do site oficial do fabricante.
• Se o modelo não recebe atualizações há anos (fim de suporte), troque o roteador. Um aparelho sem correções fica permanentemente vulnerável.

3. Desative o WPS

O WPS permite conectar aparelhos apertando um botão ou digitando um PIN de 8 dígitos. O modo por PIN tem falhas conhecidas que permitem descobrir a senha do Wi-Fi por tentativa. Desligue o WPS no painel, na seção de Wi-Fi ou segurança sem fio.

4. Desative o UPnP, se puder

O UPnP permite que programas e aparelhos da rede abram portas no roteador automaticamente, sem pedir permissão. É prático para jogos e chamadas de vídeo, mas um dispositivo infectado também pode usá-lo para se expor à internet. Em empresas, o recomendado é desativar. Em casa, avalie: se algum jogo ou console parar de funcionar bem, abra apenas as portas necessárias manualmente.

5. Feche portas e acessos desnecessários

• Administração remota: desative o acesso ao painel pela internet (WAN), a menos que seja realmente necessário.
• Redirecionamentos de portas: revise a lista e remova regras antigas que ninguém sabe para que servem.
• Telnet e SSH: se o roteador oferece e você não usa, desligue.
• DMZ: nunca deixe um computador na DMZ, porque isso expõe todas as portas dele à internet.

Para conferir o que está visível de fora, use um verificador de portas online a partir de uma conexão da própria rede.

6. Wi-Fi bem configurado

• Use WPA3 ou WPA2-AES com senha longa.
• Crie uma rede de convidados para visitantes e aparelhos de IoT.
• Troque o nome padrão da rede para não revelar o modelo do roteador.

Explicamos em detalhes em Wi-Fi lento: causas e soluções.

7. Confira o DNS configurado

Um ataque comum é trocar o servidor DNS do roteador para levar os usuários a sites falsos de bancos. Verifique se o DNS é o da operadora ou um provedor conhecido (como Cloudflare 1.1.1.1 ou Google 8.8.8.8) e se ninguém o alterou.

Sinais de roteador comprometido

• Sites de bancos com aviso de certificado inválido.
• Propagandas estranhas em sites que normalmente não têm.
• Configurações alteradas sem explicação, como DNS ou senha.
• Internet lenta sem motivo e luzes de atividade intensa de madrugada.

Se notar isso, restaure as configurações de fábrica, atualize o firmware e configure tudo de novo com senhas novas. Veja também o checklist de segurança digital.

Perguntas frequentes