Cámaras con Contraseña de Fábrica: la Puerta Abierta que Nadie Mira

Una empresa de vigilancia instala o administra sistemas de cámaras en decenas de sitios. En una porción incómoda de esos sistemas, el usuario y la contraseña siguen siendo los que trajo el equipo de fábrica. Y esa es, en la práctica, la vulnerabilidad más común de toda la seguridad electrónica.

No hace falta ser experto para explotarlo. Las credenciales por defecto de casi cualquier marca están publicadas y son fáciles de encontrar. Si además el equipo está accesible desde internet, el problema deja de ser hipotético.

Qué puede pasar en concreto

Alguien ve el video en vivo. De un conjunto residencial, de un patio de maniobras, de una recepción. Con eso se conoce la rutina completa de un sitio: horarios, movimientos, dónde está el vigilante a cada hora.

Alguien borra grabaciones. Después de un evento, el material desaparece. Es un escenario que la mayoría de los clientes no ha considerado.

El equipo se usa para otra cosa. Cámaras y grabadoras comprometidas se emplean como parte de redes para atacar a terceros. El dueño del equipo se entera cuando su proveedor de internet le corta el servicio.

Se accede a la red del cliente. Una cámara mal configurada puede ser el punto de entrada a la red administrativa de la empresa. Ahí el problema deja de ser de seguridad física y pasa a ser un incidente serio.

Las verificaciones de los sistemas del sitio, registradas con fecha, son lo que permite demostrar qué se advirtió y cuándo.

Las seis cosas que hay que revisar

No hace falta un especialista para las primeras cuatro.

1. Cambiar las credenciales por defecto

En la grabadora y en cada cámara. Es común cambiar la del grabador y dejar las cámaras con la clave original, lo que deja la puerta abierta igual.

Contraseñas distintas por sitio. Una misma clave para todos los clientes convierte una filtración en un problema de todos.

2. Revisar si el equipo está expuesto a internet

Muchos sistemas se instalan con acceso remoto abierto para que el cliente vea desde el teléfono. Esa comodidad es la que expone el equipo.

La alternativa correcta es el acceso mediante una conexión privada, no abriendo el equipo al mundo. Si el proveedor propone “abrir un puerto”, conviene pedir otra opción.

3. Actualizar el firmware

Los fabricantes publican correcciones. Un equipo con firmware de hace cinco años tiene vulnerabilidades conocidas y documentadas.

4. Desactivar lo que no se usa

Servicios abiertos que nadie ocupa, cuentas de invitado, funciones de descubrimiento automático. Menos superficie, menos riesgo.

5. Separar la red de video de la red del cliente

Esta requiere apoyo técnico, y es la que más consecuencias evita. Si las cámaras están en su propio segmento, un equipo comprometido no alcanza los sistemas administrativos.

6. Controlar quién tiene acceso

Un usuario por persona, no una cuenta compartida. Y baja del acceso cuando alguien deja la empresa o el cliente cambia de proveedor.

Ese último punto se descuida siempre: proveedores anteriores que conservan acceso durante años.

El punto incómodo para la empresa de vigilancia

Si tu empresa administra el sistema de video de un cliente, esto ya es responsabilidad tuya en alguna medida, aunque el contrato no lo diga con esas palabras.

Y hay una consecuencia práctica: si ocurre un incidente y se descubre que el sistema tenía la contraseña de fábrica, la conversación con el cliente y con su aseguradora va a ser muy difícil.

La forma de protegerse no es evitar el tema, es documentarlo:

• Revisar el estado de los sistemas que administras.
• Informar por escrito al cliente lo que encuentres, con recomendación concreta.
• Registrar si autorizó o no la corrección.
• Repetir la revisión periódicamente.

Un informe entregado y no atendido protege. Un problema conocido y no informado, no.

Los hallazgos técnicos del sitio se registran igual que cualquier novedad, con fecha y seguimiento.

Lo que el personal de puesto sí puede detectar

No se trata de convertir vigilantes en técnicos, pero hay señales que cualquiera puede reportar:

• Cámaras que dejaron de grabar o muestran “sin señal”.
• La grabadora reiniciándose sola.
• Fecha y hora del sistema desajustadas —señal clásica de manipulación.
• Personas manipulando equipos sin ser técnicos identificados.
• El sistema pidiendo credenciales que antes no pedía, o al revés.

Incluir estos puntos en la verificación semanal del puesto cuesta nada y detecta bastante.

Lo que se le pregunta a un proveedor de video

Antes de recomendar una instalación a un cliente:

• ¿Cambian las credenciales por defecto de todos los equipos y entregan constancia?
• ¿Cómo se implementa el acceso remoto?
• ¿Incluyen actualización de firmware en el mantenimiento?
• ¿Las cámaras quedan en un segmento separado?
• ¿Quién de su empresa conserva acceso y cómo se revoca?

Un proveedor que no puede responder estas cinco preguntas con claridad está vendiendo cámaras, no un sistema.

Un plan realista para empezar mañana

Revisar todas las instalaciones de golpe no es viable. Un enfoque por etapas que sí se puede sostener:

Semana 1: inventario. Listar los sitios donde tu empresa administra o tiene acceso al sistema de video. Solo la lista. Suele ser más larga de lo que la gerencia cree.

Semana 2: clasificar por exposición. Cuáles tienen acceso remoto abierto, cuáles son sitios de alto valor, cuáles pertenecen a clientes con exigencias contractuales de seguridad de la información. Ese cruce da la prioridad.

Semanas 3 a 6: los prioritarios. Cambio de credenciales, revisión del acceso remoto, actualización si corresponde. Con constancia escrita por sitio.

Después: el resto, y una revisión periódica. Semestral es razonable. Anual es el mínimo.

El costo de no hacerlo, en términos comerciales

Cada vez más clientes corporativos incluyen requisitos de seguridad de la información en sus licitaciones y en sus auditorías de proveedores. Preguntar por credenciales, accesos y gestión de vulnerabilidades ya no es exclusivo de bancos.

Una empresa de vigilancia que puede responder esas preguntas con un procedimiento escrito y constancias por sitio tiene una ventaja concreta frente a competidores que van a improvisar. Y la que no puede, empieza a quedar fuera de ciertos procesos sin entender bien por qué.

Sobre normativa

El tratamiento de imágenes, los deberes de custodia de datos personales y las obligaciones ante un incidente de seguridad de la información están regulados, varían por jurisdicción y se actualizan con el tiempo. Consulta con asesoría legal y con un especialista en seguridad informática: lo anterior describe criterio operativo básico, no asesoría técnica ni jurídica.

Para cerrar

De todas las medidas de seguridad electrónica que puede tomar una operación, cambiar las contraseñas de fábrica es la más barata y la que más riesgo elimina. No requiere presupuesto ni aprobación de nadie.

Que siga sin hacerse en tantas instalaciones dice menos sobre la dificultad del problema que sobre lo poco que se revisa.

Si quieres ver cómo se registran verificaciones técnicas y su seguimiento con el cliente, explora CGuardPro o escríbenos.