La policía nacional de Corea del Sur ha detenido a cuatro individuos sospechosos de haber vulnerado más de 120 000 cámaras IP de videovigilancia instaladas en hogares, negocios y centros médicos. El caso se ha convertido en un ejemplo paradigmático de cómo el uso de contraseñas débiles o por defecto convierte a las cámaras de seguridad en un serio riesgo para la privacidad y la protección de datos personales.
Más de 120 000 cámaras IP comprometidas: alcance técnico del ataque
Según la investigación, la mayoría de los accesos ilícitos se atribuye a dos de los sospechosos, que habrían tomado control de aproximadamente 63 000 y 70 000 cámaras IP respectivamente. Los otros dos implicados, empleados y trabajadores por cuenta propia o sin empleo formal, habrían vulnerado, de acuerdo con la policía, unas 15 000 cámaras adicionales y otras 136 unidades.
Las cámaras comprometidas estaban desplegadas tanto en viviendas particulares como en entornos comerciales y sanitarios. Entre ellas se encontraban dispositivos instalados en clínicas y consultas especializadas, donde las imágenes captadas tenían un marcado carácter íntimo. Esta combinación de gran escala y alto nivel de sensibilidad de los datos convierte el incidente en un caso de referencia dentro de la ciberseguridad aplicada a sistemas de videovigilancia.
Explotación de la intimidad y negocio ilícito con vídeo robado
La investigación policial destaca que al menos dos de los detenidos habrían buscado de manera deliberada cámaras en centros médicos, incluyendo consultas de ginecología. Fragmentos de vídeo obtenidos de estos dispositivos se habrían editado y combinado para producir material pornográfico, posteriormente distribuido a través de una plataforma anónima identificada como «sitio C».
Los investigadores señalan que los dos principales implicados no se limitaron al acceso no autorizado, sino que establecieron un modelo de monetización estable. Uno de ellos habría obtenido alrededor de 35 millones de wones (unos 23 800 USD) y el otro cerca de 18 millones de wones (aproximadamente 12 200 USD) mediante la venta de acceso a los flujos de vídeo o de grabaciones ya editadas.
La policía informó también de la detención de tres compradores de este contenido ilegal. Este elemento es clave desde el punto de vista jurídico y de ciberseguridad: la demanda de material obtenido mediante intrusiones en sistemas de videovigilancia incentiva la proliferación de redes de hackeo y puede conllevar responsabilidad penal para quienes consumen dicho contenido.
Contraseñas por defecto y mala configuración: la puerta de entrada al hackeo de cámaras IP
De acuerdo con las autoridades, los atacantes explotaron principalmente credenciales por defecto y contraseñas débiles que los propietarios no habían modificado tras la instalación. En muchas cámaras IP, los nombres de usuario y contraseñas predeterminados son públicos o fácilmente deducibles, lo que permite a atacantes automatizar el acceso mediante scripts que escanean Internet en busca de dispositivos expuestos.
Este tipo de ataque no requiere vulnerabilidades complejas ni técnicas avanzadas. Bastan conocimientos básicos de redes, herramientas de escaneo de puertos y programas de fuerza bruta o diccionario para probar combinaciones de credenciales. Incidentes similares han sido documentados a nivel global, incluyendo su uso para crear botnets IoT como Mirai, utilizadas en ataques de denegación de servicio distribuido (DDoS) contra grandes proveedores de servicios en línea.
Videovigilancia e IoT: un riesgo sistémico de privacidad
El caso coreano refleja un problema estructural: muchos usuarios tratan las cámaras IP como simples electrodomésticos, cuando en la práctica son equipos conectados a Internet con capacidad de procesar y transmitir datos sensibles. En entornos sanitarios y empresariales, la exposición no autorizada de imágenes puede vulnerar obligaciones de confidencialidad, normativas de protección de datos y códigos éticos profesionales.
Respuesta de las autoridades y acciones correctivas sobre el terreno
El jefe de la unidad de cibercrimen de la Agencia Nacional de Policía, Park Woo-hyun, subrayó que los delitos asociados a cámaras IP causan daños psicológicos y reputacionales significativos a las víctimas. La policía ha anunciado una intensificación de las investigaciones y de las campañas de prevención para reducir la superficie de ataque de estos sistemas.
Como parte de las actuaciones, los agentes visitaron 58 ubicaciones donde se confirmaron intrusiones, informaron a los propietarios sobre el compromiso de sus dispositivos y proporcionaron recomendaciones de configuración segura. El procedimiento penal sigue en curso y, al momento de hacerse pública la información, los cargos formales aún estaban pendientes.
Buenas prácticas para asegurar cámaras IP y dispositivos IoT
El incidente pone de relieve que medidas relativamente simples pueden evitar la mayoría de ataques contra sistemas de videovigilancia conectados. Las recomendaciones clave incluyen:
- Cambiar inmediatamente las credenciales por defecto (usuario y contraseña) cuando se instala la cámara o cualquier dispositivo IoT.
- Usar contraseñas robustas y únicas, de al menos 12–14 caracteres, combinando letras mayúsculas y minúsculas, números y símbolos, idealmente gestionadas con un gestor de contraseñas.
- Actualizar con regularidad el firmware de cámaras y otros dispositivos conectados para corregir vulnerabilidades conocidas publicadas por los fabricantes.
- Restringir el acceso remoto mediante VPN, segmentación de la red (por ejemplo, una VLAN específica para IoT) y desactivación del acceso directo desde Internet si no es imprescindible.
- Habilitar autenticación en dos factores (2FA) cuando el fabricante lo ofrezca, añadiendo una capa adicional de seguridad más allá de la contraseña.
- Revisar la exposición en motores de búsqueda de dispositivos (por ejemplo, configuraciones de UPnP y reenvío de puertos en el router) para evitar que las cámaras queden accesibles de forma pública sin necesidad.
El hackeo de más de 120 000 cámaras IP en Corea del Sur demuestra que ataques técnicamente sencillos pueden tener consecuencias masivas para la confidencialidad y la privacidad digital. A medida que el número de dispositivos IoT crece de forma exponencial, hogares, empresas y centros médicos deben tratar la seguridad de sus cámaras IP con el mismo rigor que la protección física de sus instalaciones. Adoptar contraseñas fuertes, aplicar actualizaciones, segmentar la red y realizar auditorías periódicas de configuración son pasos mínimos pero imprescindibles para reducir el riesgo de vigilancia no autorizada y proteger la intimidad de las personas.
