Insecam, o cómo espiar cámaras de vigilancia alrededor del mundo

Si Gran Hermano fuera de hecho una persona y caminara por las calles hoy, probablemente diría que “su” 1984 es algo similar a la prehistoria. La combinación de la pobre seguridad en dispositivos y servicios actuales con la ignorancia de los usuarios no haría más que darle la razón, y se la pasaría viendo portales como Insecam, que nos enseña cámaras de vigilancia alrededor del globo, completamente expuestas a la Web.

Las cámaras IP nos han permitido acceder a funciones avanzadas de seguridad con un precio razonable. El problema es que hay que saber cómo configurarlas correctamente. El usuario promedio tal vez quede satisfecho con la contraseña de fábrica y la posibilidad de obtener imágenes a través de una conexión remota, pero ignora por completo el detalle de que otras personas pueden acceder a esas imágenes de la misma forma que él. Una cámara apuntando a una plaza o una esquina probablemente no genere ningún inconveniente, sin embargo, el interior de una oficina, un depósito, o aún peor, el cuarto de un bebé (muchos padres usan cámaras IP para ver a sus pequeños), son lugares definitivamente delicados. Todo lo que se necesita para corregir esto es cambiar la contraseña, y en lo posible el usuario (evitando así el uso de “admin”). Si crees que exagero, será mejor que le eches un vistazo a Insecam.

Que un portal publique direcciones IP de dispositivos expuestos no es algo nuevo. Ya hemos visto en el pasado lo que puede hacer Shodan, e incluso el propio motor de búsqueda de Google arroja resultados muy interesantes. Aún así, Insecam contiene decenas de miles de streams provenientes de cámaras en todo el mundo. Solamente en los Estados Unidos hay más de 11 mil entradas, mientras que España supera las mil. No todos los streams cargan correctamente, y en general el sitio es muy lento, pero como prueba de concepto es algo sorprendente. Claro que, algunos abogados estadounidenses ya han declarado que Insecam comete una violación del Acta de Fraude y Abuso Informático, y la presencia de publicidad en el portal complicaría más su situación.

Insecam también comparte la marca de las cámaras afectadas, pero en este caso no estamos ante una vulnerabilidad específica en el diseño de los fabricantes, sino ante la realidad de que el usuario responsable de cada unidad ha ignorado u olvidado la necesidad de modificar la contraseña original. Por el momento, nadie se ha comunicado con Insecam para pedir el retiro de su cámara, lo que confirma el desconocimiento de los usuarios. Esperamos que con un poco de ruido en los medios, alguien decida chequear la configuración de su cámara IP, aunque sea para comprobar que todo está en orden.