Si para ver sus cámaras desde afuera le dieron una dirección seguida de dos puntos y un número, su grabador tiene un puerto abierto y está publicado en internet. Si además nunca le cambiaron la contraseña de fábrica, cualquiera que lo encuentre puede entrar sin ningún conocimiento técnico: esas credenciales están en el manual del fabricante.
Cómo termina un grabador publicado en internet
Casi nunca por mala intención. Pasa así:
El cliente pide poder ver las cámaras desde el celular cuando no está en casa. El instalador entra al router y hace lo más rápido: abre un puerto y lo redirige al grabador. Funciona de inmediato, el cliente queda contento y nadie vuelve a tocar el tema.
Lo que quedó hecho es que ese equipo, que vive dentro de su red, ahora responde a cualquiera que toque esa puerta desde cualquier parte del mundo.
Y no hace falta que alguien lo esté buscando específicamente a usted. Existen sistemas que recorren internet de forma automática catalogando dispositivos que responden, y los grabadores de video son de los que más aparecen porque son millones y casi todos quedaron igual.
El problema no es solo la puerta abierta: es la puerta abierta con la llave puesta. La mayoría de estos equipos conserva usuario y contraseña de fábrica, y esas credenciales están publicadas en el manual que el propio fabricante distribuye.
Cinco señales de que el suyo está expuesto
Puede revisarlas usted mismo, sin herramientas:
Le dieron una dirección con dos puntos y un número para entrar desde afuera. Ese número es el puerto abierto.
Nunca le pidieron cambiar la contraseña ni le entregaron una clave nueva al terminar la instalación.
La contraseña es corta, es la palabra «admin», o es el nombre del negocio. Cualquiera de las tres equivale a no tener contraseña.
Nadie ha tocado el equipo desde que se instaló. Si lleva años sin actualización, conserva vulnerabilidades ya publicadas y corregidas por el fabricante.
El grabador está en la misma red que los computadores, sin ninguna separación. Eso no lo expone por sí solo, pero convierte una intrusión en un problema mucho mayor.
Qué puede hacer alguien que entre
Conviene ser concreto, porque «me ven el video» suena tolerable hasta que se piensa a fondo.
- Ver en vivo y revisar grabaciones. Saber sus horarios, cuándo está la casa sola, cuándo llega la mercancía, quién trabaja qué turno.
- Borrar grabaciones. Justo las del momento que a usted le interesaría revisar.
- Apagar la grabación sin que nada lo advierta. Usted sigue viendo las cámaras en vivo y cree que todo está bien.
- Usar el equipo como punto de entrada al resto de la red: los computadores, el servidor de facturación, lo que haya conectado.
- Usar su equipo para atacar a terceros, dejando su conexión como origen.
El cuarto punto es el que más subestiman las empresas. Un grabador comprometido no es un problema de cámaras: es un problema de red. Por eso lo abordamos como auditoría de red y no solo de CCTV.
Formas de conectarse, de peor a mejor
| Método | Riesgo | Comentario |
|---|---|---|
| Puerto abierto + clave de fábrica | Crítico | Equivale a no tener seguridad |
| Puerto abierto + clave fuerte | Alto | Sigue expuesto a fallas del propio equipo |
| Nube del fabricante | Aceptable | Con clave fuerte y doble factor |
| VPN a la red | Bajo | Nada queda publicado en internet |
| VPN + red segmentada | Muy bajo | Recomendado en empresas |
Cómo corregirlo sin perder el acceso
Esta es la preocupación real de todo el mundo, y la respuesta es tranquilizadora: no va a perder la posibilidad de ver sus cámaras. Cambia el camino, no el resultado.
- Cambiar todas las credenciales, del grabador y de cada cámara. Sí, las cámaras tienen su propia clave y casi nunca se cambia.
- Configurar el acceso por la nube del fabricante o por VPN, y comprobar que funciona desde el celular.
- Cerrar el puerto en el router, solo después de comprobar el paso anterior.
- Actualizar el firmware del grabador y de las cámaras.
- Crear usuarios limitados para quien solo necesita mirar, y reservar el administrador para configuración.
- Verificar desde afuera que el equipo ya no responde en el puerto anterior.
El orden importa: primero se habilita el camino nuevo, después se cierra el viejo. Al revés, se queda sin acceso un rato y termina reabriendo el puerto «mientras tanto», que es como estos problemas vuelven.
Preguntas frecuentes
¿Cómo sé con certeza si estoy expuesto?
Las cinco señales de arriba dan una idea bastante clara. La comprobación definitiva es intentar alcanzar el equipo desde fuera de su red, que es parte de lo que hacemos en la auditoría. Si le dieron una dirección con puerto, no necesita comprobar nada más: lo está.
Mi instalador dice que así es como se hace
Era la práctica habitual hace años, cuando no existían alternativas cómodas. Hoy los propios fabricantes ofrecen servicios de conexión que evitan abrir puertos, y sus manuales recomiendan no hacerlo. Que siga siendo común no lo vuelve correcto.
¿Me pueden hackear si no tengo puerto abierto?
El riesgo baja muchísimo, pero no desaparece. Un equipo con firmware muy desactualizado o con credenciales débiles puede comprometerse por otras vías, sobre todo si alguien ya está dentro de su red o si se conecta a un servicio de nube inseguro. Por eso el endurecimiento incluye credenciales y actualizaciones, no solo cerrar puertos.
¿Esto aplica a cámaras WiFi de casa?
Aplica igual, y en cierto sentido más: muchas cámaras domésticas dependen por completo de la nube del fabricante, así que la fortaleza de su contraseña y la activación del doble factor son toda su defensa.
En la visita técnica revisamos los equipos reales, qué está expuesto hacia internet y qué credenciales siguen siendo las de fábrica. La visita cuesta \.000 y es abonable al proyecto.
Ver el servicio de auditoría de red y seguridad de cámaras en Bogotá