En los meses de mayo y junio de 2023, varios usuarios de cámaras Hikvision comenzaron a ver un mensaje en las pantallas de sus dispositivos que advertía: «su CCTV es vulnerable y puede estar expuesto». Este aviso se ha observado en múltiples plataformas, incluyendo LinkedIn, el sitio web del distribuidor británico CCTV Global, el portal vietnamita VNExpress y otros medios de comunicación. El mensaje no fue emitido por Hikvision ni por ninguna otra empresa, sino que apareció directamente en las pantallas de los dispositivos.
El responsable de este aviso se identificó como @faxociety, un usuario de Telegram. Este individuo informó a la organización IPVM que el mensaje ha llegado a aproximadamente 500.000 cámaras Hikvision y, próximamente, también a dispositivos Dahua. Según Faxociety, el mensaje se insertó en las pantallas debido a contraseñas débiles y puertos abiertos, sin necesidad de utilizar vulnerabilidades conocidas como la puerta trasera de 2017 o la crítica de 2021.
Contraseñas débiles y UPnP
Faxociety explicó que el acceso a las cámaras se logró mediante «ataques de fuerza bruta», usando contraseñas genéricas. Además, mencionó que la activación automática del protocolo UPnP (Universal Plug and Play) por parte del firmware de Hikvision facilita el acceso no autorizado a los dispositivos. IPVM había analizado previamente este método en 2017 y señaló que permitía a los atacantes modificar la visualización en pantalla, como mostrar «HACKED».
Hikvision ha recomendado durante años el reenvío de puertos para usuarios que necesiten acceso rápido a sus dispositivos. Sin embargo, esta práctica puede exponer los sistemas si no se configura correctamente. La empresa advierte que la combinación de contraseñas débiles y configuraciones como UPnP o el reenvío de puertos predeterminados facilita las intrusiones.
El próximo objetivo: Dahua
Faxociety confirmó que su atención se está centrando ahora en Dahua, indicando que «el problema es el mismo, solo estoy trabajando en el script de superposición de texto». En general, Dahua también tiene múltiples vulnerabilidades reportadas, como las críticas de 2021, la vulnerabilidad de escuchas telefónicas y las fallas en su infraestructura cloud.
Este incidente refleja una situación preocupante: cientos de miles de cámaras CCTV alrededor del mundo son susceptibles a ataques si no se configuran adecuadamente. La responsabilidad recae tanto en los usuarios como en las empresas fabricantes, que deben garantizar la seguridad de sus dispositivos y ofrecer soluciones claras para mitigar estos riesgos.