Source: The Conversation – (in Spanish) – By Miguel Angel Sanabria Valdez, Profesor de Ingeniería en Computación, Universidad de Guadalajara
Piense en la cámara que lleva tres años en el salón. Quizá se mueva sola alguna vez o el indicador LED de actividad parpadee cuando nadie está usando la aplicación. O, tal vez, el router consuma el 100 % de la CPU, la conexión a internet sea extremadamente lenta y exista tráfico de red saliente hacia direcciones IP desconocidas a altas horas de la noche. Podría ser que, al intentar acceder a la configuración, sus contraseñas ya no funcionen o que haya un nuevo usuario administrador creado sin su consentimiento.
En estos casos, lo más probable es que un atacante haya descubierto un fallo de seguridad y esté explotándolo para incluir su dispositivo en una botnet, nombre que recibe una red de dispositivos conectados a internet que han sido infectados con malware (software malicioso) para ser controlados de forma remota por un ciberdelincuente.
Para protegernos de esos incidentes, desde el 11 de septiembre de 2026, los fabricantes tienen una obligación nueva. Si saben que alguien está explotando un fallo de seguridad en sus productos, deben avisar a las autoridades europeas en 24 horas. También deben advertírselo a los usuarios afectados. Lo mismo vale para la cámara, el router, el vigilabebés o la cerradura inteligente, por ejemplo.
Avisar en 24 horas, también de los aparatos viejos
El Reglamento (UE) 2024/2847, conocido como Reglamento de Ciberresiliencia, entró en vigor el 10 de diciembre de 2024, aunque su artículo 14 se aplica desde el pasado 11 de septiembre. Desde esa fecha, el fabricante debe notificar cualquier vulnerabilidad que esté siendo explotada.
Los plazos son estrictos: 24 horas para una alerta temprana, 72 para la notificación completa y un informe final catorce días después de que haber solucionado el problema.
Es una exigencia, además, que alcanza a los aparatos que ya están en casa. Aunque no obliga a rediseñar una cámara de 2023, por ejemplo, el fabricante es responsable de avisar si su seguridad falla. Es un reglamento europeo de aplicación directa, no una directiva, lo que da más fuerza a su cumplimiento. Para quien lo infrinja, el documento prevé multas de hasta 15 millones de euros o el 2,5 % del volumen de negocio mundial.
Qué debe decirle el fabricante
La obligación clave está en el octavo apartado del artículo 14: cuando sabe que una vulnerabilidad se está explotando, el fabricante debe informar a los usuarios afectados –y, si procede, a todos los usuarios de su producto– y explicarles qué hacer para reducir el riesgo.
No hay un plazo de 24 horas para ese aviso: la norma dice “sin demora indebida”. Recalcamos que es una obligación, no una cortesía. Si su cámara tiene un fallo que alguien usa para entrar en ella, el fabricante debe decírselo. También debe indicarle si hay una actualización disponible para corregir esa vulnerabilidad, si conviene desconectarla o si el modelo ya no se puede arreglar.
El sello CE que aún no existe
La aplicación del resto del reglamento llegará el 11 de diciembre de 2027. Entonces, los aparatos nuevos que lleguen al mercado europeo deberán cumplir requisitos de diseño, llevar el marcado CE y declarar un periodo de soporte, que no puede ser inferior a cinco años, salvo que la vida útil prevista sea menor.
En concreto, la fecha de fin de soporte técnico deberá figurar en el momento de la compra. Y las actualizaciones de seguridad publicadas en ese periodo deberán seguir disponibles, al menos, durante diez años. En este contexto, la evaluación de vigilabebés y cerraduras inteligentes –en la lista de “productos importantes de Clase I”– será más estricta.
Sin embargo, en el tema del etiquetado hay algo que podría confundirnos. Resulta que el marcado CE que ya llevan muchas cámaras y routers cubre otras normas –seguridad eléctrica, radio comunicaciones, compatibilidad electromagnética…– y, en algunos equipos de radio, unas primeras exigencias de ciberseguridad. Pero aún no acredita el cumplimiento de este reglamento: esa evaluación empezará en diciembre de 2027.
La frontera que la ley no cruza
El nuevo reglamento se aplica a todo producto que pueda adquirirse en la Unión Europea. De esta manera, por ejemplo, un fabricante mexicano que venda en Europa deberá cumplir las mismas obligaciones; el mismo aparato, vendido en México, no.
En América Latina, no existe un régimen horizontal equivalente. Ninguna norma de alcance general obliga al fabricante de una cámara doméstica a notificar en 24 horas que su producto está siendo explotado. Así, el mismo modelo puede llevar un sello de ciberseguridad en Europa y ninguna garantía equivalente al otro lado del Atlántico.
Qué puede hacer usted hoy
Si detecta un fallo, avise al fabricante y, si sospecha que se está explotando, a INCIBE-CERT. Si el fabricante no contesta, la autoridad de vigilancia del mercado es la vía para denunciar el incumplimiento.
Pero no hay por qué esperar a sufrir un ataque. Para prevenirlo, lo primero es saber la fecha de fin de soporte; búsquela en la web del fabricante y, si no aparece, escriba al servicio de atención al cliente. Si ya no recibe actualizaciones, no deje el dispositivo en la red principal: páselo a una red de invitados o sustitúyalo.
El segundo paso para reducir su vulnerabilidad es cambiar la contraseña de fábrica, desactivar el acceso remoto que no use y activar las actualizaciones automáticas. Se trata de medidas viejas, pero siguen siendo eficaces.
Y, antes de comprar, siempre pregunte por la fecha de fin de soporte técnico y por el canal para reportar fallos. Si el vendedor no lo sabe, ya tiene parte de la respuesta.
Miguel Angel Sanabria Valdez no recibe salario, ni ejerce labores de consultoría, ni posee acciones, ni recibe financiación de ninguna compañía u organización que pueda obtener beneficio de este artículo, y ha declarado carecer de vínculos relevantes más allá del cargo académico citado.
– ref. Su casa conectada ya tiene ley: cómo proteger la cámara, el router y el vigilabebés de ciberataques – https://theconversation.com/su-casa-conectada-ya-tiene-ley-como-proteger-la-camara-el-router-y-el-vigilabebes-de-ciberataques-294997
Original source: https://submissions.mil-osi.com/2026/11/12/su-casa-conectada-ya-tiene-ley-como-proteger-la-camara-el-router-y-el-vigilabebes-de-ciberataques-294997/