Los equipos de CCTV (Circuito Cerrado de Televisión) son sistemas de videovigilancia que se utilizan para monitorear y registrar imágenes de diferentes entornos, tanto públicos como privados. Estos sistemas pueden aportar beneficios en términos de seguridad física, prevención de delitos, control de accesos, gestión de emergencias, etc. Sin embargo, también pueden suponer un riesgo si no se aplican las medidas adecuadas de ciberseguridad.
Los equipos de CCTV son dispositivos IoT (Internet de las Cosas) que se conectan a internet para transmitir y almacenar los datos que captan. Esto los hace vulnerables a posibles ataques cibernéticos que pueden comprometer su funcionamiento, su integridad o su confidencialidad. Uno de los vectores de ataque más comunes y peligrosos son los puertos SSH y TELNET.
Los puertos SSH y TELNET son protocolos de conexión remota que permiten acceder y controlar los dispositivos de red de forma remota. SSH (Secure Shell) es un protocolo seguro que utiliza cifrado y autenticación para garantizar la privacidad y la integridad de los datos. TELNET (Teletype Network) es un protocolo antiguo e inseguro que envía los datos en texto plano, sin cifrar ni autenticar.
Muchos equipos de CCTV vienen configurados por defecto con los puertos SSH y TELNET abiertos y con contraseñas débiles o predeterminadas. Esto facilita que los ciberdelincuentes puedan escanear estos puertos en internet y acceder a los dispositivos sin autorización. Una vez dentro, pueden realizar acciones maliciosas como:
• Robar o borrar las imágenes grabadas por las cámaras, lo que puede suponer una pérdida de evidencia o una violación de la privacidad de las personas.
• Manipular o desactivar las cámaras, lo que puede impedir la detección de incidentes o facilitar la intrusión de otros delincuentes.
• Utilizar los dispositivos como parte de una botnet (red de ordenadores infectados) para lanzar ataques masivos a otros sistemas o servicios.
Estas acciones pueden tener consecuencias graves para la seguridad, la reputación y la economía de las organizaciones y las personas afectadas. Además, pueden suponer un incumplimiento de la legislación vigente en materia de protección de datos personales, como el Reglamento General de Protección de Datos (RGPD) o la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD). Estas normas establecen la obligación de adoptar medidas técnicas y organizativas para garantizar la seguridad de los datos personales y evitar su pérdida, alteración o acceso no autorizado. Asimismo, imponen la obligación de notificar a la autoridad competente y a los afectados en caso de producirse una violación de seguridad que suponga una fuga de información confidencial. El incumplimiento de estas obligaciones puede acarrear sanciones económicas y administrativas, así como responsabilidades civiles o penales.
Por todo ello, es importante proteger los puertos SSH y TELNET en los equipos de CCTV, siguiendo las siguientes recomendaciones:
• Cambiar las contraseñas por defecto por otras más seguras y complejas, que combinen letras, números y símbolos, y que se renueven periódicamente.
• Cerrar o bloquear los puertos SSH y TELNET si no se utilizan, o restringir su acceso solo a las direcciones IP autorizadas.
• Actualizar el firmware y el software de los equipos de CCTV para corregir posibles vulnerabilidades y mejorar su seguridad.
• Realizar copias de seguridad de las imágenes grabadas por las cámaras y almacenarlas en un lugar seguro y cifrado.
• Monitorizar y auditar el funcionamiento y la actividad de los equipos de CCTV para detectar y prevenir posibles ataques o anomalías.
La ciberseguridad en los equipos de CCTV es una responsabilidad compartida entre los fabricantes, los proveedores, los instaladores y los usuarios. Todos ellos deben colaborar para garantizar la protección de los datos personales y la seguridad de las personas y las organizaciones. Solo así se podrá aprovechar el potencial de los sistemas de videovigilancia sin poner en riesgo la privacidad y la confidencialidad.
Artículo publicado el LinkedIn el 07/01/2024, para acceder al artículo pulsar aquí.