Seguridad de dispositivos IoT: cambia los valores predeterminados, mantente protegido

Lectura de 8 min aprox.

Altavoces inteligentes, cámaras de red, cerraduras inteligentes, dispositivos wearables: los dispositivos IoT (Internet de las Cosas) se están integrando rápidamente en nuestra vida diaria. Según investigaciones, el número de dispositivos IoT en todo el mundo alcanzó aproximadamente 39 mil millones en 2024, con un crecimiento adicional esperado en 2025. Sin embargo, muchos de estos dispositivos operan con contraseñas predeterminadas débiles y reciben actualizaciones de seguridad insuficientes. Este artículo explica los riesgos ocultos en los dispositivos IoT y las medidas defensivas concretas que puedes implementar en el hogar y la oficina.

¿Qué deberías hacer primero?

Mejora la seguridad de tus dispositivos IoT en el siguiente orden de prioridad. Los principiantes deben primero cambiar las contraseñas predeterminadas de todos los dispositivos IoT por contraseñas fuertes generadas con Passtsuku.com. Luego, usa la función de red de invitados de tu router para aislar los dispositivos IoT en una red separada de PCs y smartphones. Los usuarios intermedios y avanzados también deben fortalecer la contraseña de administrador del router, cambiar a WPA3 y desactivar UPnP.

Por qué los dispositivos IoT son objetivo de ataques

Contraseñas predeterminadas sin cambiar

Muchos dispositivos IoT vienen con contraseñas de fábrica como "admin", "password" o "123456". Los usuarios muy a menudo nunca cambian estos valores predeterminados, y los atacantes lo saben bien. La botnet Mirai utilizó 61 contraseñas predeterminadas conocidas para iniciar sesión automáticamente en dispositivos IoT, causando un ataque DDoS masivo en 2016. En ese ataque, el proveedor de DNS Dyn fue el objetivo, dejando temporalmente inaccesibles servicios importantes como Twitter, Netflix y Reddit. Comprender la seguridad DNS ayuda a apreciar la escala de estos ataques a nivel de infraestructura. Las variantes de Mirai continúan operando hoy, y las observaciones del NICT (Instituto Nacional de Tecnologías de la Información y las Comunicaciones de Japón) muestran que los ciberataques dirigidos a dispositivos IoT representan aproximadamente el 30% de todo el tráfico de ataques.

Mecanismos de actualización limitados

A diferencia de las PCs y los smartphones, muchos dispositivos IoT carecen de capacidades de actualización automática. Las actualizaciones de firmware deben realizarse manualmente y el proceso puede ser complejo. Además, no es raro que los fabricantes dejen de proporcionar parches de seguridad después de solo unos años, dejando una gran cantidad de dispositivos en uso con vulnerabilidades conocidas sin parchear. Una preocupación clave es que los anuncios de fin de soporte a menudo no llegan adecuadamente a los usuarios: generalmente se publican discretamente en el sitio web del fabricante, sin enviar ninguna notificación al dispositivo en sí.

Cifrado inadecuado

Algunos dispositivos IoT transmiten datos de comunicación sin cifrado, o utilizan protocolos de cifrado obsoletos como SSL 3.0 o TLS 1.0. Si un atacante en la misma red intercepta el tráfico, puede obtener fácilmente datos sensibles como imágenes de cámaras, datos de audio e información de sensores. Las cámaras de red en particular a veces transmiten datos de video en texto plano, y en 2020 se informó que aproximadamente 2,000 cámaras en Japón tenían sus imágenes accesibles para terceros. Comprender los fundamentos del cifrado puede ayudarte a tomar decisiones informadas al seleccionar dispositivos.

Para aprender sistemáticamente los fundamentos de seguridad IoT, las guías de evaluación de vulnerabilidades IoT (Amazon) son útiles.

Medidas de seguridad prácticas

Cambia las contraseñas predeterminadas inmediatamente

Lo primero que debes hacer después de comprar un dispositivo IoT es cambiar su contraseña. Usa Passtsuku.com para generar una contraseña única y fuerte para cada dispositivo. Dado que las contraseñas de dispositivos IoT requieren menos entrada manual frecuente, recomendamos establecer contraseñas largas de 20 caracteres o más. Una contraseña de 20 caracteres que contenga letras mayúsculas, minúsculas y números proporciona aproximadamente 119 bits de entropía, ofreciendo suficiente resistencia contra ataques de fuerza bruta. Si el dispositivo admite caracteres especiales, agrégalos también para aumentar aún más la fortaleza.

Crear una red dedicada para IoT

Conectar dispositivos IoT a la misma red que PCs y smartphones significa que si un dispositivo IoT es comprometido, toda la red está en riesgo. Muchos routers domésticos tienen una función de red de invitados, así que conecta los dispositivos IoT a la red de invitados para aislarlos de la red principal. En entornos empresariales, recomendamos usar VLANs (Redes de Área Local Virtuales) para aislar los dispositivos IoT en segmentos de red independientes. Un error común es pensar que las redes de invitados son más lentas, pero sin restricciones de ancho de banda, pueden comunicarse a la misma velocidad que la red principal.

Mantén el firmware actualizado

Verifica regularmente el firmware de tus dispositivos IoT y aplica las actualizaciones rápidamente cuando estén disponibles. Para dispositivos sin capacidades de actualización automática, recomendamos crear el hábito de verificar la página de soporte del fabricante una vez al mes. Las actualizaciones de firmware a menudo incluyen parches de seguridad y son un medio importante para corregir vulnerabilidades conocidas. Cortar la energía durante una actualización puede causar fallas en el dispositivo, así que mantén la energía estable durante las actualizaciones y espera a que se completen.

Desactiva funciones innecesarias

Desactiva activamente las funciones que no uses. Acceso remoto, UPnP (Universal Plug and Play), integración con asistentes de voz: cada función habilitada es un objetivo potencial de ataque. UPnP en particular es una función que permite a los dispositivos abrir automáticamente puertos en el router, lo que puede convertirse en un punto de entrada para accesos externos no autorizados. Mantener habilitadas solo las funciones necesarias y minimizar la superficie de ataque es un principio fundamental de seguridad. Tampoco olvides el control de acceso físico de los dispositivos IoT: las medidas de software por sí solas son insuficientes cuando alguien puede acceder físicamente al dispositivo.

Asegurar tu router

Tu router es la puerta de entrada a todos los dispositivos IoT de tu red. Si la seguridad del router es débil, todos los dispositivos conectados están en riesgo.

• Cambia la contraseña de administrador del router por una contraseña fuerte generada con Passtsuku.com
• Configura el cifrado Wi-Fi a WPA3 (o WPA2 si WPA3 no es compatible)
• Desactiva WPS (Wi-Fi Protected Setup) debido a sus vulnerabilidades conocidas
• Mantén el firmware del router actualizado
• Cambia el SSID predeterminado a un nombre que no revele el modelo del router

Al considerar actualizar tu router, los routers Wi-Fi 6E compatibles con WPA3 (Amazon) soportan los últimos estándares de seguridad. La segmentación de red también ayuda a contener la propagación de ransomware si un dispositivo IoT es comprometido.

Cómo elegir dispositivos IoT seguros

Al comprar dispositivos IoT, incluye la seguridad como un criterio de selección importante. Verifica si el fabricante proporciona actualizaciones de seguridad regulares, si soporta métodos de autenticación fuertes (como la autenticación de dos factores), si tiene una política de privacidad clara y si implementa cifrado de datos. Para dispositivos IoT que manejan datos biométricos, como relojes inteligentes y monitores de salud, las consideraciones de protección de datos médicos son especialmente importantes. Los productos de fabricantes baratos y desconocidos a menudo tienen medidas de seguridad insuficientes, por lo que elegir productos de fabricantes confiables conduce a una mejor seguridad a largo plazo. Desde 2024, la UE ha aplicado la Ley de Ciberresiliencia (Cyber Resilience Act), que exige que los productos IoT cumplan con requisitos de seguridad. Elegir productos con la marca CE también puede servir como indicador de calidad de seguridad. Al establecer contraseñas únicas para cada dispositivo usando Passtsuku.com y actualizarlas regularmente, puedes mejorar significativamente la seguridad de todo tu entorno IoT.

Actúa ahora

1. Haz una lista de todos los dispositivos IoT en tu hogar (cámaras, altavoces, routers, etc.) y verifica si alguno todavía usa contraseñas predeterminadas
2. Genera contraseñas de más de 20 caracteres con Passtsuku.com y cambia las contraseñas de todos los dispositivos IoT individualmente
3. Habilita la función de red de invitados en tu router y conecta los dispositivos IoT a una red separada de PCs y smartphones
4. Fortalece la contraseña de administrador del router con Passtsuku.com y configura el cifrado Wi-Fi a WPA3 (o WPA2)
5. Verifica las actualizaciones de firmware de cada dispositivo IoT y actualiza a la última versión

Preguntas frecuentes

¿Qué daños pueden ocurrir si un dispositivo IoT es atacado?

Violaciones de privacidad (espionaje de cámara/micrófono), reclutamiento en botnets para ataques DDoS y uso como trampolín para infiltrar toda su red doméstica.

¿Necesito cambiar la contraseña predeterminada de los dispositivos IoT?

Absolutamente. Las contraseñas predeterminadas de fábrica están disponibles públicamente, y malware como Mirai toma el control automáticamente usando credenciales predeterminadas.

¿Qué es lo primero que debo hacer para la seguridad de dispositivos IoT?

Priorice tres cosas: cambiar contraseñas predeterminadas, actualizar firmware y aislar dispositivos IoT en una red separada (VLAN o Wi-Fi de invitados).