CERT-UA documenta acceso no autorizado masivo a dispositivos de videovigilancia que eluden firewall mediante números de serie predecibles y CVE sin parchear desde 2021.
El 23 de octubre de 2026, el equipo de respuesta a incidentes cibernéticos de Ucrania emitió una alerta sobre compromiso remoto de cámaras IP y grabadores de video Dahua mediante Easy4IP, la función de nube del fabricante chino. Los atacantes lograron visualizar transmisiones en vivo, modificar configuraciones de dispositivos y crear cuentas propias sin necesidad de que los equipos estuvieran expuestos directamente a internet. La alerta no especifica el número de dispositivos afectados ni identifica a las organizaciones comprometidas, pero advierte que cualquier equipo Dahua con Easy4IP activo enfrenta exposición estructural independientemente de su configuración de red local.
El bypass arquitectónico: cómo Easy4IP convierte el firewall en papel
Easy4IP permite que cámaras y grabadores se registren en la infraestructura de nube de Dahua usando únicamente su número de serie, estableciendo una conexión saliente que elude NAT y firewall corporativos. El dispositivo inicia el vínculo hacia los servidores del fabricante sin requerir puertos abiertos ni dirección IP pública, lo que significa que equipos considerados protegidos por estar detrás de un firewall perimetral quedan accesibles remotamente a través de la nube de Dahua. CERT-UA señala que la ausencia de acceso directo desde internet no garantiza la seguridad del dispositivo mientras la función P2P permanezca activa.
Los números de serie de Dahua siguen patrones predecibles, lo que permite a los atacantes automatizar su enumeración y verificar qué dispositivos están registrados en la nube. Mantener el número de serie en privado no constituye una medida de seguridad efectiva frente a esta técnica de fuerza bruta estructural. Una vez establecida la conexión a través de la nube, los atacantes enfrentan únicamente la barrera de autenticación del dispositivo.
CVE-2021-33044 y CVE-2021-33045: las llaves maestras sin parchear
Estas dos vulnerabilidades permiten eludir la autenticación sin necesidad de contraseña, lo que anula incluso credenciales robustas en dispositivos que ejecutan firmware vulnerable. Publicadas en 2021, ambas fallas siguen presentes en equipos sin actualizar, convirtiendo la combinación de Easy4IP activo y firmware desactualizado en una puerta trasera operativa. Los atacantes pueden intentar credenciales débiles o comunes como primera vía, pero la existencia de estos CVE elimina la autenticación como capa de defensa en dispositivos no parcheados.
CERT-UA identifica tres indicadores de compromiso verificables: presencia de cuentas no reconocidas en el sistema, modificaciones en configuraciones del dispositivo (incluyendo texto superpuesto en la imagen de video), y registros de auditoría que muestran logins mediante el protocolo DVRIP desde la dirección local 127.0.0.1, lo cual señala acceso a través del servicio de nube. La ausencia de estos indicadores no descarta compromiso, dado que los atacantes pueden operar sin dejar rastros visibles en la interfaz de usuario.
Exposición en América Latina: infraestructura crítica con P2P activo por defecto
Dahua mantiene presencia significativa en el mercado latinoamericano de videovigilancia, especialmente en sectores de infraestructura crítica, transporte público y retail en México, Brasil, Colombia y Argentina. La configuración de fábrica de los dispositivos Dahua incluye Easy4IP habilitado por defecto, lo que significa que organizaciones que desplegaron estos equipos sin revisar configuraciones de nube quedan expuestas independientemente de su arquitectura de red perimetral. En contextos donde la segmentación de red y las políticas de actualización de firmware son débiles — patrón documentado en estudios previos sobre IoT industrial en la región — la combinación de P2P activo y CVE sin parchear desde 2021 representa una superficie de ataque operativa y no teórica.
El bypass de firewall mediante conexión saliente es particularmente relevante en organizaciones latinoamericanas que implementaron videovigilancia IP sin capacidad de gestión centralizada de dispositivos IoT, confiando en la protección perimetral como única capa de defensa. Esta arquitectura de seguridad — común en despliegues de pequeña y mediana escala — queda anulada por el diseño de Easy4IP, que fue concebido para facilitar acceso remoto sin configuración técnica pero que en la práctica crea un canal persistente hacia la nube del fabricante.
Mitigación: desactivación de P2P y actualización manual de firmware
CERT-UA recomienda desactivar las funciones P2P y de acceso a la nube si no se utilizan activamente, mantener las cámaras fuera de internet directo, y emplear VPN con listas blancas de direcciones IP autorizadas para acceso remoto legítimo. La actualización de firmware a la última versión disponible debe realizarse manualmente, estableciendo una rutina de actualización regular dado que los dispositivos Dahua no implementan actualización automática confiable. La agencia ucraniana también instruye verificar la lista de cuentas en busca de usuarios no creados por la organización y revisar qué cuentas de nube están vinculadas al dispositivo, desconectando las desconocidas.
Organizaciones que detecten indicadores de acceso no autorizado deben reportarlos a CERT-UA y auditar todos los dispositivos Dahua en su red, incluyendo equipos que puedan haber quedado olvidados en despliegues anteriores. La advertencia subraya que todos los dispositivos con funcionalidad P2P activa enfrentan riesgo, sin importar su ubicación en la topología de red.
Nuestro análisis
Este caso documenta un patrón recurrente en dispositivos IoT de videovigilancia: funciones de conveniencia diseñadas para simplificar el acceso remoto que terminan creando canales persistentes hacia infraestructura del fabricante, anulando controles perimetrales tradicionales. La combinación de números de serie predecibles, CVE sin parchear desde 2021 y P2P habilitado por defecto no es un fallo de implementación puntual sino una decisión de arquitectura que prioriza facilidad de uso sobre seguridad por diseño. Lo que distingue este incidente de alertas previas sobre cámaras IP comprometidas es la documentación explícita de CERT-UA sobre el bypass de firewall mediante conexión saliente, lo que invalida la suposición común de que dispositivos no expuestos directamente a internet están protegidos.
La persistencia de CVE-2021-33044 y CVE-2021-33045 en dispositivos desplegados cinco años después de su publicación refleja la brecha estructural entre ciclos de vida de vulnerabilidades y ciclos de actualización de hardware IoT en campo, especialmente en sectores donde la videovigilancia se considera infraestructura pasiva que no requiere gestión activa. La pregunta que queda abierta es cuántos otros fabricantes de dispositivos IoT implementan funciones de nube con arquitecturas similares — conexión saliente persistente, identificadores predecibles, autenticación débil — que operan como puertas traseras no intencionales pero funcionalmente equivalentes a backdoors deliberados.