14,500 Cámaras de Seguridad Comprometidas en Cinco Semanas: La Lección de la Operación CameraSwarm
El dispositivo más subestimado de tu empresa no es el servidor ni la computadora del contador: es la cámara de seguridad que instalaste hace tres años y de la que nadie se acuerda. Entre el 17 de junio y el 22 de julio de 2026, una sola campaña —bautizada Operation CameraSwarm— comprometió más de 14,500 cámaras Dahua repartidas por todo el mundo usando técnicas que no requieren sofisticación, sino descuido. Esta es la historia de una brecha masiva que pudo evitarse, y lo que significa para cualquier negocio que confíe en dispositivos conectados.
Qué pasó: 14,530 dispositivos en 35 días
Investigadores de Hunt.io revelaron una campaña de compromiso a gran escala dirigida contra cámaras de videovigilancia del fabricante Dahua, uno de los más usados en el mundo —y muy presente en América Latina, incluidas oficinas, comercios y desarrollos inmobiliarios en México. La operación, apodada CameraSwarm, logró comprometer 14,530 dispositivos en poco más de cinco semanas.
El ataque no se apoyó en un exploit de día cero ni en una vulnerabilidad recién descubierta. Se apoyó en lo más básico y, por eso mismo, en lo más difícil de erradicar: credenciales débiles o de fábrica y dos fallos de autenticación que llevan cinco años documentados.
Los investigadores identificaron tres técnicas combinadas. La primera, ataques de credenciales por fuerza bruta contra contraseñas predeterminadas que muchos instaladores nunca cambian. La segunda, el aprovechamiento de dos vulnerabilidades de bypass de autenticación —CVE-2021-33044 y CVE-2021-33045— que permiten a un atacante autenticarse en el dispositivo sin credenciales válidas. La tercera, el abuso del relay P2P que muchas cámaras traen habilitado por defecto para permitir acceso remoto sin configurar la red.
"Los atacantes pueden eludir la autenticación de identidad del dispositivo construyendo paquetes de datos maliciosos." — Boletín oficial de seguridad de Dahua
⚠️ El detalle que debería quitarte el sueño
Ambos fallos —CVE-2021-33044 y CVE-2021-33045— siguen listados en el catálogo KEV (Known Exploited Vulnerabilities) de CISA. Eso significa que son vulnerabilidades con explotación activa confirmada. Cinco años después de su parche, los atacantes siguen encontrando dispositivos sin actualizar y cobrándose víctimas en masa.
Por qué importa: la cámara no es solo una cámara
Es fácil restarle importancia. Después de todo, ¿qué puede hacer un atacante con una cámara de seguridad? La respuesta incómoda: mucho más de lo que parece.
En primer lugar, una cámara IP es una computadora conectada a tu red. Una vez comprometida, se convierte en un punto de apoyo para moverse lateralmente hacia sistemas más valiosos: la terminal de punto de venta, el servidor de nóminas, las cámaras de las demás sucursales. En muchas instalaciones, la cámara está en la misma red que todo lo demás, sin segmentación de por medio.
En segundo lugar, una cámara es un instrumento de vigilancia inversa. Quien la controla ve lo que tú ves: horarios de apertura, ubicación de cajas fuertes, rutinas del personal, puntos ciegos de la vigilancia física. Para un delincuente que planea un robo o un chantaje, ese acceso es oro puro.
Y en tercer lugar, los dispositivos comprometidos en masa no siempre se usan contra su dueño. Se integran a botnets —ejércitos de dispositivos esclavizados— que luego se alquilan para lanzar ataques DDoS, enviar spam o minar criptomonedas. El propietario de la cámara paga la factura de la electricidad y el ancho de banda, y ni siquiera se entera de que su dispositivo es cómplice de un ciberdelito.
El problema de fondo: el IoT que nadie administra
CameraSwarm no es un caso aislado; es un síntoma de un problema estructural. La explosión del Internet de las Cosas (IoT) llenó oficinas, fábricas y hogares de dispositivos conectados que se instalan una vez y se olvidan para siempre. La cámara, el router, la impresora, el termostato inteligente, el sensor de puerta: cada uno es un mini-servidor con su propio firmware, su propio sistema de credenciales y, con demasiada frecuencia, su propio agujero de seguridad sin parchear.
El patrón es predecible. Un técnico instala el dispositivo, lo deja funcionando con la contraseña de fábrica y se va. Nadie lo vuelve a tocar. No hay inventario, no hay actualizaciones, no hay monitoreo. Cuando el fabricante publica un parche —como hizo Dahua en 2021—, millones de dispositivos nunca lo reciben porque nadie asumió la responsabilidad de mantenerlos.
La cifra que confirma el riesgo viene del lado del ransomware: los actores de Medusa, grupo que ya superó las 500 organizaciones afectadas, explotan exploits recién anunciados "en un plazo de 24 horas", según el aviso conjunto del FBI, CISA y el Departamento de Salud de EE.UU. Es decir, la ventana entre que una vulnerabilidad se hace pública y los atacantes la usan se ha reducido a un solo día. Contra esa velocidad, un dispositivo que lleva años sin actualizarse no tiene ninguna oportunidad.
Fuentes: Hunt.io, Dahua, CISA/FBI/HHS — agosto 2026
Lo que esto significa para tu empresa
Si tu negocio usa cámaras de seguridad IP —y la gran mayoría lo hace—, este ataque te concierne directamente. No porque uses Dahua necesariamente, sino porque el vector de ataque es universal: dispositivos conectados sin gestión, con credenciales débiles y firmware desactualizado. Mañana le toca a otra marca; el problema de raíz es el mismo.
La buena noticia es que CameraSwarm no fue un ataque sofisticado. Fue un ataque oportunista, y eso lo convierte en uno de los más prevenibles. Las defensas que lo detienen no requieren un presupuesto millonario ni un equipo de seguridad dedicado: requieren disciplina, inventario y hábitos que se pueden adoptar hoy mismo.
La ciberseguridad moderna ya no empieza en el firewall ni en el antivirus. Empieza en saber qué dispositivos tienes conectados y en tratarlos a todos —incluso a una cámara de $40— como lo que son: puntos de entrada a tu red.
4 Pasos Accionables para Blindar tus Dispositivos IoT
El 80% del éxito de CameraSwarm fue credenciales predeterminadas o débiles. Haz un inventario de cada cámara, router, impresora y dispositivo conectado, y cámbiale la contraseña por una única y robusta. Si el dispositivo no permite cambiar la contraseña, es una señal de que no debería estar en tu red.
Aplica los últimos parches de firmware a todas tus cámaras y dispositivos. Y desactiva el acceso P2P cuando no lo necesites: es la puerta trasera que permitió el relay en este ataque. Si necesitas acceso remoto, hazlo a través de una VPN o una red segmentada, nunca exponiendo el dispositivo directo a internet.
Crea una VLAN o red separada para los dispositivos IoT y de videovigilancia, aislada de los sistemas críticos (caja, servidores, datos de clientes). Si una cámara se compromete, el atacante se queda atrapado en una isla y no puede saltar al resto de tu operación.
La seguridad no es un evento, es un hábito. Agenda una revisión trimestral de tus dispositivos: verificar firmwares, revisar accesos, confirmar que las credenciales se rotaron y que no hay dispositivos "fantasma" conectados. Con una ventana de explotación de 24 horas, un dispositivo desatendido es una bomba de tiempo.
¿Sabes cuántos dispositivos conectados tiene tu empresa?
En W-ADMIN ayudamos a empresas a mapear su superficie de ataque, segmentar redes y automatizar la gestión de seguridad de sus dispositivos. De la auditoría de IoT a la implementación de defensa en capas.
Solicita una evaluación gratuitaArtículo por Equipo W-ADMIN — 19 de agosto, 2026