El caso Meari: qué enseña sobre cámaras conectadas a internet

En mayo de 2026 un investigador de seguridad independiente demostró que podía acceder a transmisiones en vivo de 1,1 millones de cámaras conectadas a la plataforma en la nube de un fabricante (Meari Technologies), en 118 países, sin necesidad de contraseña ni de ningún método de hackeo sofisticado.

Cómo fue posible

El problema no fue una sola falla, sino varias decisiones de diseño acumuladas: la aplicación móvil del fabricante tenía una llave de acceso incrustada en el código que podía extraerse y reutilizarse, el servidor en la nube no validaba qué dispositivo pertenecía a qué usuario, y varias marcas distintas (vendidas bajo etiqueta privada) compartían la misma infraestructura insegura. La falla quedó registrada como CVE-2026-33356.

La lección, más allá del caso puntual

El error no estuvo en el usuario final: nadie eligió una contraseña débil ni dejó un puerto abierto por descuido. El problema estuvo en la arquitectura de la nube del fabricante, algo que el comprador de una cámara normalmente no puede evaluar por su cuenta.

Qué revisar antes de elegir un sistema de cámaras

• Si el fabricante exige cambiar la contraseña por defecto en el primer uso.
• Si la app permite activar verificación en dos pasos.
• Si el acceso remoto queda documentado y explicado, en vez de ser una caja negra.
• Si el instalador revisa la configuración de red de las cámaras como parte del trabajo, no solo el cableado y el enfoque.

Qué revisamos en cada instalación

Al instalar un sistema de cámaras no solo configuramos el video: revisamos contraseñas, segmentación de red y el método de acceso remoto, para que el sistema no dependa únicamente de que la nube del fabricante nunca falle.

Fuente: investigación de Sammy Azdoufal sobre la plataforma Meari, reportada por eSecurity Planet y TechRepublic, mayo de 2026.