Se ha identificado una falla de seguridad grave (CVE‑2021‑36260), un tipo de command injection con una calificación de 9,8 sobre 10 según NIST. A casi un año de haberse detectado, más de 80 000 cámaras Hikvision en todo el mundo continúan sin parchear, dejando a miles de organizaciones expuestas a ataques remotos.
Investigadores han detectado en foros de la darknet, especialmente rusos, múltiples intentos de colaboración entre hackers para explotar esta vulnerabilidad. Se están vendiendo credenciales filtradas de estas cámaras, facilitando el acceso a cibercriminales.
Expertos advierten que las cámaras Hikvision sufren vulnerabilidades sistémicas, uso de contraseñas predeterminadas y ausencia de mecanismos eficaces para verificar si un atacante ha intervenido el sistema. Además, a diferencia de los smartphones, las actualizaciones en dispositivos IoT no son automáticas, lo que contribuye al problema.
La combinación de debilidades técnicas, falta de visibilidad y negligencia por parte de desarrolladores y usuarios plantea un desafío crítico: es incierto cuándo —o si— estas cámaras serán finalmente aseguradas. El número elevado de cámaras afectadas agrava el riesgo global