Cámaras y dispositivos del edificio

Los equipos del edificio (cámaras, grabadores, controles de aire y de acceso) comparten dos defectos: nadie los trata como computadores, y salen de fábrica con credenciales conocidas y firmware que rara vez se actualiza. Un atacante no los necesita por lo que guardan, sino porque son un punto de apoyo dentro de la tienda.

La defensa es la misma de siempre: una zona propia, sin salida a internet, y alcanzable solo desde donde hace falta (el grabador, la central). Si no pueden iniciar conexiones hacia fuera ni ser alcanzados desde las cajas, comprometer uno de ellos no lleva a nada más.

Un inventario de equipos del edificio no debería guardar las credenciales, sino un estado: si la credencial de fábrica se cambió o no. Es una marca simple que se puede auditar en toda la flota. Un equipo con la de fábrica es el primero que se revisa, porque la lista de credenciales por defecto de cada modelo es de dominio público.

Aquí no hay claves: solo la marca de si se cambiaron.

El router de la tienda puede tener reenvíos de puertos: reglas que dejan a internet entrar a un equipo interno. Son cómodas para ver las cámaras desde casa y son una de las exposiciones más comunes. Un reenvío debe tener un cambio registrado que lo respalde: quién lo pidió, quién lo aprobó y hasta cuándo. Uno sin registro es una puerta que nadie sabe que está abierta.

Busca el reenvío sin respaldo.

La plantilla fija, para cada tipo de equipo, una compilación mínima de firmware. Todo lo que está por debajo carga con fallos que el fabricante ya corrigió. Contarlos convierte un asunto vago («hay equipos viejos») en una cifra que alguien puede reducir.

Compara la compilación instalada de cada equipo con el mínimo de su tipo y cuenta los que no llegan.

Un reenvío con su cambio registrado está documentado, pero eso no lo vuelve seguro: sigue dejando un panel de administración al alcance de cualquiera en internet. Lo documentado se sabe que existe; lo seguro es otra pregunta.

La alternativa es no exponer el equipo y llegar a él por un camino controlado: desde la central, a través del túnel que ya une la tienda con ella, con autenticación fuerte.