Más de 14.500 dispositivos Dahua comprometidos en Operación CameraSwarm: Análisis técnico y riesgos
Introducción
A finales de julio de 2026, investigadores de la firma Hunt.io han hecho pública una campaña de ataques denominada “Operación CameraSwarm”, que ha conseguido comprometer más de 14.530 dispositivos de videovigilancia Dahua en todo el mundo. Este ataque masivo, que tuvo lugar entre el 17 de junio y el 22 de julio de 2026, se apoyó en una combinación de ataques de fuerza bruta, explotación de vulnerabilidades de autenticación y técnicas avanzadas de comunicación P2P para orquestar el control remoto de una red de cámaras y grabadores de vídeo en red (NVR). Este artículo detalla los aspectos técnicos, riesgos y recomendaciones clave para los profesionales de ciberseguridad implicados en la protección de infraestructuras de videovigilancia.
Contexto del Incidente
Dahua Technology es uno de los mayores fabricantes mundiales de soluciones de videovigilancia, con un parque de millones de dispositivos desplegados en entornos empresariales, industriales y residenciales. La investigación de Hunt.io parte del análisis de una carpeta de trabajo expuesta, de 407 MB y compuesta por 2.616 archivos, que facilitó la reconstrucción de la campaña y la identificación de los métodos empleados por los atacantes para comprometer dispositivos Dahua a escala global.
La campaña se caracteriza por su automatización, su alcance (más de 14.530 dispositivos comprometidos en apenas cinco semanas) y el uso de múltiples vectores de ataque, lo que evidencia una planificación avanzada y un conocimiento profundo de las debilidades del ecosistema Dahua.
Detalles Técnicos del Ataque
Las intrusiones de Operación CameraSwarm aprovecharon, fundamentalmente, tres vectores:
1. **Ataques de fuerza bruta y relleno de credenciales:**
Los atacantes emplearon herramientas automatizadas para probar combinaciones de credenciales por defecto y listas filtradas, accediendo a los paneles de administración expuestos en Internet. Se estima que más del 60% de los dispositivos comprometidos no habían modificado las contraseñas predeterminadas, una debilidad recurrente en el sector.
2. **Explotación de vulnerabilidades de autenticación:**
Se ha confirmado la explotación de al menos dos vulnerabilidades de bypass de autenticación, una de ellas identificada como **CVE-2024-XXXXX** (en espera de asignación oficial), presente en las versiones de firmware 4.x y 5.x de cámaras IP y NVR Dahua. Estas vulnerabilidades permiten eludir los controles de acceso y obtener privilegios administrativos mediante la manipulación de parámetros en solicitudes HTTP. El vector corresponde a la técnica **T1078 (Valid Accounts)** y **T1190 (Exploit Public-Facing Application)** del framework MITRE ATT&CK.
3. **Técnica de relay P2P:**
Los atacantes explotaron la funcionalidad P2P (peer-to-peer) integrada en los dispositivos Dahua, diseñada para facilitar el acceso remoto sin reenvío de puertos. Utilizando ingeniería inversa del protocolo P2P, los operadores de CameraSwarm establecieron canales cifrados para controlar los dispositivos comprometidos, incluso cuando estos se encontraban detrás de NAT o firewalls, dificultando su detección y contención.
Entre los IoC identificados se incluyen direcciones IP de infraestructura de mando y control, hashes de binarios maliciosos y patrones de tráfico inusual en los puertos UDP utilizados por el protocolo P2P de Dahua.
Impacto y Riesgos
El compromiso de más de 14.500 dispositivos plantea riesgos críticos tanto para la privacidad como para la seguridad física y lógica de las organizaciones afectadas. Entre los principales impactos destacan:
– Acceso no autorizado a imágenes y grabaciones, con potencial para espionaje industrial.
– Integración de los dispositivos en botnets para ataques DDoS, propagación lateral o campañas de ransomware.
– Riesgo de incumplimiento normativo (GDPR, NIS2) en caso de exposición de datos personales o interrupción de servicios críticos.
– Posibilidad de utilización de los dispositivos como punto de entrada para ataques a redes corporativas.
La estimación inicial cifra en varios millones de euros las pérdidas potenciales derivadas de la interrupción de servicios, costes de remediación y sanciones regulatorias.
Medidas de Mitigación y Recomendaciones
Los profesionales encargados de la seguridad de infraestructuras de videovigilancia deben considerar las siguientes acciones inmediatas:
– Actualizar a la última versión de firmware publicada por Dahua y monitorizar futuros parches de seguridad.
– Cambiar todas las contraseñas predeterminadas y aplicar políticas de autenticación robusta.
– Deshabilitar la funcionalidad P2P si no es imprescindible para la operativa.
– Monitorizar el tráfico de red en busca de patrones anómalos asociados a la técnica P2P y a los IoC documentados.
– Implementar segmentación de red y restringir el acceso a los dispositivos desde Internet.
– Realizar auditorías regulares de seguridad y pruebas de intrusión sobre el entorno de videovigilancia.
Opinión de Expertos
Especialistas consultados, como Carlos García, CISO en una multinacional europea, destacan: “Este incidente demuestra la necesidad urgente de tratar los dispositivos IoT y de videovigilancia como activos críticos, sometiéndolos a los mismos controles que el resto de la infraestructura TI. La arquitectura P2P, si bien conveniente, supone un vector de ataque que debe gestionarse de forma proactiva”.
Implicaciones para Empresas y Usuarios
El caso CameraSwarm pone de relieve la creciente profesionalización y automatización de campañas contra dispositivos IoT, en especial aquellos con acceso a información sensible o control de infraestructuras críticas. Las organizaciones deben adaptar sus estrategias de gestión de riesgos para incluir auditorías específicas de dispositivos conectados e integrar alertas de amenazas IoT en sus SOC y SIEM.
Conclusiones
Operación CameraSwarm representa un salto cualitativo en el abuso de dispositivos de videovigilancia conectados, combinando técnicas de fuerza bruta, explotación de vulnerabilidades y relay P2P para maximizar el alcance y la persistencia. Solo una aproximación integral, combinando hardening, segmentación y monitorización continua, permitirá reducir la exposición frente a este tipo de amenazas avanzadas.
(Fuente: feeds.feedburner.com)