La seguridad en el acceso a empresas: más allá de la barrera física

El control de accesos ya no es solo quién pasa la tarjeta

Y eso nos toca de lleno, porque cuando montas una puerta con lector, una cámara IP o un sistema industrial conectado, ya no te piden solo que funcione: te piden que sea seguro de verdad, también desde el lado digital. En esa misma conversación se han colado avisos recientes, como la alerta de organismos federales de EE. UU. por una amenaza activa sobre sistemas de control industrial de Siemens.

Lo que ha pasado con las cámaras IP (y por qué te interesa)

La gota que ha colmado el vaso viene de un informe de Hunt.io recogido por Security Info Watch. Durante 35 días, los investigadores documentaron el compromiso de más de 14.000 cámaras IP. La mayoría estaba concentrada en Ucrania y Rusia, pero el barrido de escaneo fue global: aparecieron pistas tempranas en redes de México y Vietnam. ¿Cómo entraron? Por dos vías que usamos a diario sin pensarlo: el port-forwarding y los servicios P2P que el propio fabricante ofrece en la nube para acceder remotamente.

Lo más jugoso del informe es lo que pasó después: en casi 1.900 cámaras el atacante instaló una cuenta de backdoor que se guarda aparte de la contraseña del administrador. Eso significa que aunque el cliente cambie la clave o actualice el firmware, la puerta trasera sigue ahí. Y todavía peor: los códigos de recuperación de cuenta se generan offline solo con el número de serie, y siguen siendo válidos hasta que el fabricante cambie cómo los deriva. Vamos, que quitar la cuenta maliciosa no invalida esos códigos.

Qué tocar en tu próxima instalación

Si te encuentras con una cámara, un NVR o un DVR expuesto a internet por port-forwarding o por un DDNS, ya tienes un problema entre manos, aunque el dueño no lo sepa. La recomendación de Hunt.io es clara: evita abrir puertos hacia el exterior y desactiva los servicios P2P o nube del fabricante cuando no los necesites. Y mantén el firmware al día, que no es un consejo nuevo pero sigue funcionando.

Si el cliente necesita ver el vídeo desde el móvil —que lo va a necesitar, no te líes—, la solución pasa por equipos que encapsulen la cámara en un canal cifrado sin abrir puertos. En el propio informe se menciona un panel como el CHeKT Video Control Panel, que hace exactamente eso: convierte la cámara en cloud sin port-forwarding ni P2P, sin compartir contraseñas y sin dejar puertos abiertos. Para empresas de seguridad que aún tienen cuentas sin migrar a este tipo de plataformas, el aviso es empezar por las instalaciones que más riesgo acumulen.

Y aquí va el consejo de oro: antes de dejar una cámara o un sistema de accesos funcionando, hazle al cliente la pregunta incómoda: ¿de verdad necesitas abrir un puerto o activar el P2P del fabricante para verlo desde fuera? Si la respuesta es sí, encárdale un relay cifrado entre la cámara y la nube. Si la respuesta es no, desactívalo y cierra el puerto en el router. Y apunta el número de serie en tu parte de trabajo: con esos datos se puede seguir entrando aunque cambies la contraseña, y eso ya lo saben los atacantes.