La campaña CameraSwarm compromete 14,500 cámaras Dahua en apenas 35 días
Investigadores documentaron el compromiso de más de 14,500 cámaras IP del fabricante Dahua, concentradas principalmente en Ucrania y Rusia, dentro de una operación sostenida durante cinco semanas.
Investigadores de seguridad documentaron una campaña bautizada CameraSwarm que comprometió más de 14,500 cámaras IP del fabricante Dahua durante un periodo de 35 días. Los equipos afectados se concentran principalmente en Ucrania y Rusia.
La mecánica de la campaña
Las cámaras IP comparten un perfil de riesgo particular: son dispositivos con sistema operativo completo, conexión permanente a la red, capacidad de cómputo suficiente para ejecutar código arbitrario y un ciclo de actualización que rara vez se gestiona. Muchas quedan publicadas hacia internet para permitir la visualización remota, con credenciales de fábrica o contraseñas triviales.
La velocidad de la operación —14,500 dispositivos en cinco semanas— indica automatización sobre un universo de equipos previamente identificados mediante escaneo masivo de internet.
Para qué sirve una cámara comprometida
El valor para el atacante rara vez es la imagen. Un dispositivo comprometido dentro de una red corporativa funciona como cabeza de playa: permite reconocimiento interno, movimiento lateral y persistencia en un equipo que ningún antivirus corporativo vigila. En operaciones de mayor escala, estos parques alimentan botnets de retransmisión y denegación de servicio.
Lectura de Tabuga Intelligence
El videovigilancia corporativa representa el punto ciego más consistente del inventario de TI en la región. La instalación suele quedar a cargo de un proveedor de seguridad física, no del departamento de tecnología. El resultado es un parque de dispositivos conectados a la red corporativa que nadie inventarió, nadie segmentó y nadie actualiza.
Las medidas correctivas son directas y de bajo costo:
- Segmentación de red. Las cámaras pertenecen a una VLAN aislada sin ruta hacia los sistemas administrativos.
- Eliminación de exposición directa. El acceso remoto debe pasar por VPN, nunca por publicación directa del dispositivo.
- Cambio de credenciales de fábrica. El paso más elemental y el más frecuentemente omitido.
- Inclusión formal en el inventario de activos. Un dispositivo que no está en el inventario no recibe parches.
Los edificios corporativos dominicanos acumulan miles de estos equipos. La pregunta relevante para cualquier gerente de tecnología es cuántos de ellos aparecen en su hoja de inventario.
Fuente: BleepingComputer, 19 de agosto de 2026.