Las credenciales de fábrica de cámaras y grabadores están publicadas en los manuales del fabricante. Dejarlas puestas equivale a no tener contraseña. Y hay un detalle que se olvida casi siempre: cada cámara tiene su propia clave, no solo el grabador, y cambiar la del grabador no cambia las de las cámaras.
Por qué nadie las cambia
No es negligencia deliberada. Hay tres razones muy humanas:
Primera: el sistema funciona igual. Una contraseña débil no produce ningún síntoma. Nada se ve mal, nada va lento, nada avisa.
Segunda: el instalador usa las claves de fábrica durante el montaje porque le agiliza el trabajo, y al terminar se le olvida, o piensa que el cliente las cambiará después.
Tercera: a veces se deja a propósito, «por si hay que volver a entrar». Es cómodo para el soporte y es exactamente el mismo camino que usa cualquier otro.
Estas credenciales no son un secreto que alguien deba adivinar. Están en el manual que el fabricante publica en su sitio web, y existen listas que las recopilan por marca y modelo. No hay nada que descifrar.
El detalle olvidado: las cámaras también tienen clave
Este punto es el que más nos encontramos en auditorías, incluso en instalaciones donde alguien sí se preocupó por la seguridad.
El grabador tiene su usuario y su contraseña. Pero cada cámara IP es un equipo independiente, con su propia interfaz y sus propias credenciales. Cambiar la del grabador no toca las de las cámaras.
El resultado típico: un grabador con contraseña robusta, y detrás doce cámaras con la clave de fábrica. Si alguna de esas cámaras es accesible, el atacante entra por ahí y ya está dentro del segmento de seguridad.
Qué es una contraseña buena en este contexto
Aquí las reglas son un poco distintas a las de una cuenta de correo, porque estos equipos rara vez tienen bloqueo tras varios intentos fallidos.
- Longitud antes que complejidad. Una frase larga y fácil de recordar resiste mejor que ocho caracteres con símbolos.
- Distinta para cada sistema. Si la clave del grabador es la misma del correo, un problema se convierte en dos.
- Que no sea el nombre del negocio, la dirección ni el año de fundación. Es lo primero que se prueba.
- Anotada en algún lugar seguro. Contraseña perdida significa técnico y reinicio de fábrica, que a veces implica perder la configuración.
- Documentada y entregada al cliente al finalizar la instalación. Si el instalador se queda con la única copia, usted no controla su propio sistema.
Dónde hay credenciales en un sistema típico
| Equipo | Suele quedar | Riesgo si no se cambia |
|---|---|---|
| Grabador NVR o DVR | Clave de fábrica o muy simple | Acceso total al video |
| Cada cámara IP | Casi siempre de fábrica | Entrada al segmento de seguridad |
| Router | Clave impresa en el equipo | Control de toda la red |
| Switch administrable | Credenciales por defecto | Reconfiguración de la red |
| Control de acceso | Clave de administrador simple | Alta de credenciales no autorizadas |
| Cuenta de la app móvil | Sin doble factor | Acceso remoto al sistema |
Usuarios distintos para personas distintas
Casi todas las instalaciones que revisamos tienen un solo usuario administrador que usa todo el mundo. Es cómodo y tiene dos problemas.
El primero es que cualquiera puede cambiar la configuración, incluso sin querer: desactivar una cámara, cambiar la programación de grabación, borrar registros.
El segundo es que no hay trazabilidad. Si algo se modificó, no hay forma de saber quién lo hizo.
La corrección es simple: un usuario administrador que casi no se usa, y usuarios limitados —solo visualización— para quienes únicamente necesitan mirar. Cuando alguien deja la empresa, se elimina su usuario en vez de cambiarle la clave a todo el mundo.
Cuándo hay que cambiarlas
- Al terminar la instalación, siempre, y entregándolas documentadas
- Cuando sale alguien que las conocía
- Cuando cambia de proveedor de mantenimiento
- Si sospecha de un acceso no autorizado
- Periódicamente en instalaciones empresariales, como parte del mantenimiento
Preguntas frecuentes
Perdí la contraseña de mi grabador, ¿qué hago?
Los fabricantes tienen procedimientos de recuperación que normalmente exigen demostrar propiedad del equipo, y en algunos casos implican restablecer de fábrica, lo que borra la configuración pero no necesariamente las grabaciones. No es un trámite instantáneo, y por eso conviene documentar las credenciales desde el principio.
¿Sirve poner la misma contraseña en todo para no olvidarla?
Es mejor que dejar las de fábrica, pero convierte cualquier filtración en un problema total. Un punto intermedio razonable es usar una base común con una variación por equipo, o un gestor de contraseñas.
¿El instalador debe quedarse con las claves?
Puede conservarlas para dar soporte, pero el cliente debe tenerlas. Si usted no tiene las credenciales de su propio sistema, no controla su sistema. Es un punto que conviene exigir en la entrega, junto con la documentación.
¿Cambiar las claves afecta la app del celular?
Habrá que volver a iniciar sesión, y nada más. Es un inconveniente de dos minutos, no una reinstalación.
En la visita técnica revisamos los equipos reales, qué está expuesto hacia internet y qué credenciales siguen siendo las de fábrica. La visita cuesta \.000 y es abonable al proyecto.
Ver el servicio de auditoría de red y seguridad de cámaras en Bogotá