Uso y mantenimiento
Cómo proteger tus cámaras de seguridad de un hackeo
Por dónde entra un atacante a un sistema de cámaras, qué revisar en el grabador y en el router, y los pasos si notás algo raro.
Las cámaras se hackean casi siempre por tres puertas: una contraseña de fábrica o repetida, un puerto del router abierto hacia el grabador y un firmware viejo con fallas conocidas. Se cierran cambiando la clave del grabador y de cada cámara, apagando el UPnP y los reenvíos de puertos que no uses, y actualizando el firmware. Si sospechás un acceso, desconectá el grabador de internet: sigue grabando igual.
¿Cómo entra alguien a un sistema de cámaras?
Casi nunca con técnicas sofisticadas. Hay programas que recorren internet todo el día buscando equipos que responden en los puertos típicos de grabadores y cámaras, y cuando encuentran uno prueban las contraseñas de fábrica y las más comunes. Es lo que hacía Mirai en 2016 con cámaras IP y routers: no elegía víctimas, probaba en todos.
Las otras dos vías son más personales. Una es la cuenta de la app: si usás la misma contraseña que en otro servicio que sufrió una filtración, alguien puede entrar a la app sin tocar el grabador. La otra es un firmware sin actualizar con una falla publicada, que permite entrar al equipo aunque la contraseña sea buena.
Qué busca el que entra cambia. A veces solo quiere usar el grabador como un equipo más para atacar a terceros, y el dueño no nota nada salvo una conexión lenta. Otras veces mira las cámaras, y eso sí es un problema de privacidad serio, sobre todo con cámaras interiores.
¿Alcanza con cambiar la contraseña del grabador?
No siempre. Las cámaras IP tienen su propia contraseña, aparte de la del grabador, y la del grabador no se hereda sola en todos los casos. Un NVR con PoE suele configurar a las cámaras conectadas a sus puertos con su misma clave; una cámara agregada por la red, o una wifi, puede haber quedado con la que traía de fábrica.
Los grabadores fabricados en los últimos años obligan a crear una contraseña en el primer arranque, y eso cortó buena parte del problema. Los equipos más viejos no, y todavía hay muchos funcionando con el usuario y la clave del manual.
- Clave del administrador del grabador: larga, que no uses en ningún otro lado.
- Clave de cada cámara IP: revisala entrando a la cámara desde el navegador o desde el menú de canales del grabador.
- Contraseña de la cuenta de la app y del correo asociado: si alguien entra al correo, puede recuperar todo lo demás.
- Datos de recuperación del grabador (correo o preguntas): configuralos, así una clave olvidada no termina en un reseteo de fábrica.
Cómo repartir usuarios con permisos distintos para cada persona que mira las cámaras lo explicamos en cómo ver las cámaras en el celular.
¿Hace falta actualizar el firmware?
Sí, al menos una vez al año o cuando el fabricante publica un arreglo de seguridad. El firmware es el programa interno del grabador y de cada cámara; cuando aparece una falla que permite entrar sin contraseña, la única corrección es una versión nueva.
La versión instalada figura en el menú de información del sistema del grabador. La actualización se baja solo del sitio oficial del fabricante, buscando el modelo exacto, y se carga por pendrive o desde el propio menú si el equipo tiene actualización en línea. Durante la carga no hay que cortar la luz: un grabador que se apaga a mitad de una actualización puede quedar sin arrancar.
Nuestra opinión sobre los equipos que ya no reciben actualizaciones: si el grabador tiene más de ocho o diez años y el fabricante dejó de publicar versiones, no lo expongas a internet. Se puede seguir usando para grabar en la red local y cambiarlo cuando se pueda.
¿Es más seguro el P2P o abrir puertos?
Para un usuario común, el P2P es más seguro que abrir puertos, porque el grabador sale hacia el servidor del fabricante y no queda esperando conexiones desde internet. Un puerto abierto en el router, en cambio, deja la pantalla de acceso del grabador a la vista de cualquier programa que esté escaneando, y ahí solo te protege la contraseña.
El punto débil del P2P es que dependés del servidor del fabricante. Si no vas a mirar las cámaras desde afuera, desactivalo. Y si tenés conocimientos de redes, la opción más cerrada es una VPN en el router: entrás a la red de tu casa desde el celular y ves el grabador como si estuvieras adentro, sin P2P ni puertos abiertos.
El UPnP, la puerta que nadie abrió a mano
El UPnP es una función del router que deja que los equipos de la casa abran puertos por su cuenta. Muchos grabadores la traen activada: al conectarlos, se abren solos uno o varios puertos hacia internet y el dueño no se entera. Así queda expuesto un grabador en una casa donde nadie tocó nunca el router.
Se revisa en dos lugares. En el grabador, en el menú de red, desactivá el UPnP. En el router, entrá a la sección de reenvío de puertos o NAT y a la tabla de UPnP, borrá las reglas que apunten al grabador si no las usás, y apagá el UPnP si ningún otro equipo lo necesita. Aprovechá para cambiar la clave de administración del router, que también suele venir de fábrica.
¿Conviene poner las cámaras en una red aparte?
Conviene, y en muchos sistemas ya pasa sin hacer nada. Un NVR con puertos PoE arma una red interna para sus cámaras: ellas hablan solo con el grabador y no se ven desde las computadoras ni los celulares de la casa. Es la configuración más segura para un hogar, porque el único equipo que toca internet es el grabador.
Con cámaras wifi sueltas, lo razonable es conectarlas a la red de invitados del router, si la tiene, o a una red separada para aparatos. Así, si una cámara barata tiene una falla, el que entra por ahí no llega a tu computadora ni a tus archivos. En un comercio o una oficina con más equipos, lo prolijo es una VLAN solo para videovigilancia, separada de la red de las cajas y de la que usan los clientes. Así las armamos en las instalaciones para comercios.
¿Son más riesgosas las cámaras wifi baratas?
Suelen serlo, no por ser wifi sino por el soporte. Una cámara de marca desconocida puede no recibir nunca una actualización, depender de una nube de la que no sabés nada y usar una app que pide más permisos de los necesarios. Si el fabricante desaparece, la cámara queda congelada con las fallas que tenga.
Para cámaras interiores el criterio es más estricto, porque ahí se ve la vida de la casa. Ponelas mirando la entrada y no los dormitorios, usá el modo privacidad o apagalas cuando hay gente, y preferí modelos con tapa física del lente. La comparación general entre cámaras wifi y cableadas está en cámaras wifi o cableadas.
¿Qué hacer si sospechás que alguien entró?
Lo primero es cortarle el acceso sin dejar de grabar: sacá el cable de red del grabador o apagá el router. El grabador sigue guardando en su disco, así que no perdés nada mientras revisás. Las señales típicas son una cámara motorizada que se mueve sola, una voz o un ruido por el parlante de una cámara, usuarios que no creaste, configuraciones cambiadas o una contraseña que dejó de funcionar.
- Revisá en el grabador la lista de usuarios y el registro de accesos; anotá o fotografiá lo que no reconozcas.
- Desde un equipo de confianza, cambiá la contraseña del grabador, la de cada cámara, la de la app y la del correo asociado.
- Actualizá el firmware del grabador y de las cámaras antes de volver a conectarlo a internet.
- En el router, cambiá su clave, borrá los reenvíos de puertos y apagá el UPnP.
- Si no podés entrar al grabador o no confiás en su estado, restablecelo de fábrica y configuralo de nuevo.
- Si hubo imágenes tuyas difundidas o alguien te extorsiona con ellas, hacé la denuncia; cómo se aporta una grabación está en el video como prueba en una denuncia.
El CERTuy, el centro nacional de respuesta a incidentes de seguridad informática, recibe reportes de cualquier persona. Si preferís que revisemos el grabador y el router por vos, lo hacemos dentro del servicio de mantenimiento de cámaras.
Sobre esto tenemos páginas específicas
Fuentes
- Wikipedia: Mirai (malware) — cómo infectaba cámaras IP y routers con credenciales de fábrica
- Wikipedia: Universal Plug and Play — apertura automática de puertos
- Wikipedia: Red privada virtual — acceso remoto sin puertos abiertos
- Wikipedia: VLAN — separar la red de cámaras del resto
- Preguntas frecuentes - Centro Nacional de Respuesta a Incidentes de Seguridad Informática (CERTuy) — quién puede reportar un incidente y cómo contactarlo
Seguir leyendo
Preguntas frecuentes
¿Cómo sé si mi grabador está expuesto a internet?
Entrá al router y mirá las secciones de reenvío de puertos y de UPnP: si hay reglas que apuntan a la dirección del grabador, está expuesto. Si solo usás P2P y no hay reglas, el grabador no recibe conexiones directas desde afuera.
¿Reiniciar el grabador elimina un virus?
Algunos, como Mirai, vivían solo en la memoria y se borraban al reiniciar. Pero si la contraseña y el firmware siguen iguales, el equipo se vuelve a infectar en poco tiempo. El reinicio sirve solo si viene acompañado del cambio de clave y la actualización.
¿Las cámaras analógicas se pueden hackear?
Las cámaras analógicas no están en la red, así que no se puede entrar a ellas. El que sí está conectado es el grabador DVR, y a ese se le aplican las mismas precauciones que a un NVR.
¿Cada cuánto conviene revisar la seguridad del sistema?
Una vez al año alcanza para mirar el firmware, los usuarios y el router. Y cada vez que cambies de router o de proveedor de internet, porque el equipo nuevo puede venir con el UPnP activado.
¿Es seguro guardar las grabaciones en la nube?
Depende del proveedor y de tu cuenta. Usá una contraseña única, activá la verificación en dos pasos si la ofrece y revisá qué dispositivos tienen la sesión abierta. Para lo más sensible, grabar solo en el disco local expone menos.
¿Querés saber si tu grabador está expuesto?
Contanos qué grabador y qué router tenés; revisamos contraseñas, firmware, puertos y UPnP.