9 dispositivos en tu oficina que podrían formar parte de una red de bots

Los ataques DDoS que batieron récords el año pasado no fueron obra de superordenadores de hackers. Se ejecutaron mediante equipos de oficina comunes: la impresora, la cámara, esa caja que nadie recuerda haber comprado. Aquí te explicamos cómo encontrar los tuyos antes de que alguien más los utilice.

‍

Uno suele imaginar una botnet como algo lejano. Una habitación oscura, una sudadera con capucha y servidores zumbando en un país cuyo nombre no sabe ni escribir.

No es así.

‍

Informes recientes de inteligencia sobre amenazas han detectado botnets operando en entre 1 y 4 millones de dispositivos conectados comunes. Routers. Cámaras. Android TV boxes. Todo lo que tienes ahora mismo en el armario de suministros.

‍

Lo vemos desde el lado de la defensa cada semana. El tráfico que golpea a un banco en Yakarta se remonta a la cámara de una cafetería en Osaka y a la impresora de un bufete de abogados en Sídney.

‍

Así que aquí está la pregunta incómoda que este artículo responde para ti. ¿Cuál de tus dispositivos de oficina ya ha sido reclutado y cómo puedes encontrarlo? A continuación, los nueve que detectamos con mayor frecuencia, clasificados según el nivel de abuso que sufren, junto con el motivo por el que los atacantes los buscan, las señales de que están comprometidos y qué hacer hoy mismo.

‍

1. El router o puerta de enlace de la oficina (Riesgo: Crítico)

Empieza por aquí, porque es donde casi siempre empieza todo.

Tu router está en línea las 24 horas del día, los 7 días de la semana, rara vez se reinicia y nadie del personal se hace responsable de él. Ese es exactamente el perfil que buscan los atacantes. La botnet Aisuru-Kimwolf, responsable del récord de 2026, se alimentó en gran medida de routers comprometidos, dispositivos que ejecutaban un firmware con tres o cuatro años de antigüedad desde su último parche.

‍

Aquí viene la parte que duele. La mayoría de los routers de oficina vienen con una contraseña de administrador predeterminada, y una cantidad alarmante nunca se cambia. Los atacantes no necesitan ser ingeniosos. Ejecutan un script que prueba admin/admin en millones de direcciones IP y simplemente esperan.

‍

La señal: una conexión a internet que se vuelve misteriosamente lenta fuera de las horas punta, o un router que se calienta demasiado y se reinicia solo.

‍

Qué hacer: cambia las credenciales predeterminadas hoy mismo, desactiva el acceso administrativo remoto desde internet y actualiza el firmware. Si el router tiene más de cinco años y ya no recibe actualizaciones, cámbialo. No es una táctica de venta, es higiene digital.

‍

2. Cámaras de seguridad IP y CCTV (Riesgo: Crítico)

La ironía se explica sola. La cámara que instalaste por seguridad es el tipo de dispositivo más explotado en el mundo de las botnets.

‍

La botnet Mirai original, la que dejó fuera de servicio a medio internet en EE. UU. en 2016, se construyó principalmente con cámaras y grabadores DVR secuestrados. Una década después, nada ha cambiado. Las cámaras IP baratas ejecutan versiones reducidas de Linux, permanecen expuestas en la red y casi nunca reciben actualizaciones de firmware.

‍

Por qué les encantan a los atacantes: siempre están encendidas, tienen un ancho de banda real y sus dueños inician sesión una vez durante la instalación y nunca más.

‍

Una cámara no parece "hackeada". Sigue mostrándote el estacionamiento, mientras que, en segundo plano, envía silenciosamente 50 000 solicitudes por segundo a un objetivo al otro lado del planeta.

‍

La señal: si la transmisión de la cámara se retrasa o se corta mientras todo lo demás en la red funciona bien, es porque su ancho de banda de subida está ocupado haciendo otra cosa.

‍

Qué hacer: coloque las cámaras en su propio segmento de red, aisladas de cualquier elemento importante. Cambie todas las contraseñas predeterminadas. Si una cámara no se puede actualizar ni aislar, no debería estar en su red.

‍

3. Impresoras y fotocopiadoras de red (Riesgo: Alto)

Nadie piensa en la impresora. Ese es precisamente el problema.

‍

Una fotocopiadora de oficina moderna es un ordenador completo, con sistema operativo, disco duro, pila de red y, por lo general, una interfaz web que conserva la configuración predeterminada desde el día de su entrega. Imprime. Escanea. Y, en el peor de los casos, envía tráfico basura a un objetivo DDoS entre trabajos de impresión.

‍

El dispositivo más peligroso de su red es aquel en el que nadie ha iniciado sesión desde su instalación.

‍

Hemos rastreado tráfico de ataques hasta impresoras multifunción de oficina en más de una ocasión. El propietario siempre se queda atónito. “Es una impresora”. Exacto, una impresora con una conexión de 1 Gbps y firmware de 2021.

‍

La señal de alerta: la luz de red de la impresora parpadea constantemente incluso cuando nadie está imprimiendo.

‍

Qué hacer: deshabilite los servicios de la impresora expuestos a internet si no los está utilizando (la mayoría de las oficinas no los usan). Proteja el panel de administración con una contraseña real. Pregunte a su proveedor de servicios de impresión cuándo fue la última vez que actualizó el firmware; si se quedan callados, ahí tiene su respuesta.

‍

4. Teléfonos de escritorio VoIP (Riesgo: Alto)

El teléfono sobre el escritorio es un dispositivo Linux con un cable de red. Se olvida fácilmente porque parece un teléfono común y corriente.

‍

Los terminales VoIP se configuran una vez y funcionan sin supervisión durante años. Muchos exponen una página de configuración web y una gran cantidad viene con PIN predeterminados. Son una plataforma silenciosa, estable y siempre conectada: todo lo que un operador de botnets busca para reclutar.

‍

Por qué es tan sigiloso: Los teléfonos suelen estar gestionados por un proveedor de telecomunicaciones, no por el departamento de TI. Por lo tanto, nadie internamente supervisa el firmware, y el proveedor asume que usted avisaría si hubiera un problema. Ambas partes dan por hecho que la otra se encarga. Ninguna lo hace.

‍

La señal de alerta: la calidad de las llamadas disminuye o los teléfonos se reinician durante una llamada, una señal de que la CPU del terminal está ocupada con tráfico que no es el suyo.

‍

Qué hacer: averigüe quién se encarga realmente de actualizar sus teléfonos y confirme que lo están haciendo. Cambie las credenciales predeterminadas tanto en los terminales como en la centralita (PBX). Segmente la voz de los datos; es bueno para la seguridad y también para la calidad de las llamadas.

‍

5. Pantallas de conferencias y televisores inteligentes (Riesgo: Alto)

Esa pantalla grande en la sala de reuniones funciona con Android. También la que está en el vestíbulo. Y los dispositivos Android TV fueron una de las principales fuentes de los ataques récord de 2025-2026.

‍

Los televisores inteligentes y los dispositivos de streaming son computadoras que, casualmente, muestran video. Tienen tiendas de aplicaciones, conexiones persistentes y ciclos de actualización que ocurren "cuando al fabricante le parece bien". Un número sorprendente utiliza versiones de Android bifurcadas y abandonadas que dejaron de recibir parches de seguridad el mismo día que salieron al mercado.

‍

La pantalla muestra sus cifras trimestrales durante la reunión. Después del horario laboral, podría estar haciendo algo completamente distinto.

‍

La señal: el uso de red del televisor permanece alto durante la noche, o tarda en activarse porque ha estado ocupado.

‍

Qué hacer: si una pantalla no necesita internet (la mayoría de las pantallas de conferencias no lo necesitan, solo duplican la imagen de un portátil), desconéctela de la red. Para las que sí lo requieran, colóquelas en una VLAN de invitados o de IoT, nunca en la red corporativa.

‍

6. Grabadores de vídeo en red y DVR (Riesgo: Alto)

El dispositivo que almacena las grabaciones de sus cámaras es un problema en sí mismo, independiente de las cámaras.

‍

Los NVR y DVR están diseñados para ser accesibles desde cualquier lugar; ese es su principal argumento de venta: "vigile su oficina desde su teléfono". Para que esto funcione, abren brechas en su firewall. A veces automáticamente mediante UPnP, y otras veces porque un instalador abrió un puerto y se olvidó de cerrarlo.

‍

Sea como sea, ahora tiene un potente equipo Linux, siempre encendido, expuesto a todo internet.

‍

La comodidad y la exposición son el mismo ajuste. Solo tiene que elegir cómo llamarlo.

‍

Estos dispositivos fueron fundamentales para Mirai y siguen siendo esenciales para las botnets actuales. La superficie de ataque no ha disminuido en diez años. De hecho, hay más dispositivos que nunca.

‍

Qué hacer: desactive UPnP en su firewall. Cierre cualquier puerto abierto para el acceso remoto a cámaras y utilice una VPN en su lugar. Audite lo que realmente es accesible desde el exterior; probablemente encontrará algo que nunca autorizó.

‍

7. Sistemas de edificios inteligentes, climatización (HVAC), lectores de tarjetas, iluminación (Riesgo: Medio)

Esta es la categoría que hace palidecer a los equipos de TI, porque a menudo no saben qué hay conectado.

‍

La gestión de edificios funciona mediante una red dispersa de controladores: el termostato, el panel de control de acceso de la puerta principal, la iluminación inteligente, el sistema de ascensores. Los instaló un contratista de obra, no su equipo de TI. Se conectan a servidores externos para la "gestión remota". Y casi nadie los actualiza.

‍

La brecha de propiedad es la vulnerabilidad. TI piensa que es responsabilidad de mantenimiento. Mantenimiento piensa que es responsabilidad del contratista. El contratista terminó el trabajo en 2022 y se marchó. Así que el lector de tarjetas de su puerta principal permanece ahí, totalmente conectado, totalmente olvidado y totalmente vulnerable.

‍

Qué hacer: haga un inventario de cada sistema del edificio que se conecte a su red; no puede proteger lo que no sabe que existe. Aíslelos en una red independiente. Defina, por escrito, quién es responsable de sus actualizaciones de seguridad.

‍

8. Puntos de acceso Wi-Fi y extensores de alcance (Riesgo: Medio)

Esos pequeños dispositivos blancos en el techo y el extensor barato que alguien compró para solucionar la falta de cobertura en la oficina del fondo. Ambos cuentan.

‍

Los puntos de acceso son routers con otro nombre: tienen los mismos riesgos de firmware, el mismo problema de contraseñas predeterminadas y la misma tendencia a funcionar durante años sin una actualización. Los extensores de alcance domésticos son peores, porque se compran de forma improvisada, los conecta cualquiera y nunca se registran en TI.

‍

Ese extensor en la esquina es la definición de TI en la sombra. Está en su red, tiene un firmware desactualizado y no hay registro de su existencia.

‍

Qué hacer: estandarice el uso de puntos de acceso gestionados que su equipo realmente actualice. Localice y elimine los extensores domésticos no autorizados. Si alguien necesita una mejor cobertura, resuélvalo correctamente en lugar de permitir que un dispositivo barato se convierta en su eslabón más débil.

‍

9. Los dispositivos «inteligentes» que nadie aprobó (Riesgo: Medio)

La nevera de la sala de descanso con aplicación. El altavoz inteligente que alguien trajo de casa. La cafetera con Wi-Fi. El termómetro del acuario; sí, un casino fue hackeado una vez a través de una pecera.

‍

Individualmente, cada uno resulta casi gracioso. En conjunto, son un kit de inicio para una red de bots dentro de su perímetro. Cada uno es un pequeño ordenador conectado a internet, sin parches y que nadie supervisa. Y se multiplican silenciosamente a medida que los empleados traen su vida personal al trabajo.

‍

Cada dispositivo que se une a su red sin un plan es un dispositivo que un atacante obtiene gratis.

‍

Qué hacer: redacte una política sencilla: nada personal o «inteligente» se conecta a la red corporativa sin aprobación. Habilite una red de invitados separada para lo inevitable. Luego, revise realmente qué hay conectado; la lista siempre es más larga de lo que cualquiera imagina.

‍

Compruébelo ahora mismo: el barrido de oficina de 5 minutos

No necesita un presupuesto de seguridad para hacer esto hoy mismo. Abra la página de administración de su router y revise la lista.

• Obtenga la lista de dispositivos conectados. Cualquier cosa que no pueda identificar es un problema. Investigue todo lo desconocido.
• Vigile el tráfico fuera del horario laboral. Un dispositivo enviando datos a las 3 a. m. cuando la oficina está vacía es la señal de alerta más clara que existe.
• Compruebe si hay puertos abiertos. ¿Tiene UPnP activado o puertos redirigidos a una cámara o DVR? Ciérrelos.
• Busca contraseñas predeterminadas. Intenta iniciar sesión en cada dispositivo con las credenciales de fábrica. Si tú puedes, un atacante también.
• Identifica lo que no se puede actualizar. Todo lo que ha llegado al final de su vida útil debe segmentarse o desconectarse.

Si ese rastreo revela dispositivos que no sabías que estaban conectados, no eres el único. Es el punto de partida habitual. Lo importante es mirar.

‍

Lo que esto significa realmente

Esta es la verdad detrás de los nueve puntos: tu oficina no es un objetivo probable de un ataque DDoS. Es un arma probable en uno.

‍

Eso cambia el trabajo. No solo estás defendiendo tu propio tiempo de actividad, aunque un dispositivo secuestrado consumirá silenciosamente tu ancho de banda y arruinará el rendimiento. Te aseguras de que tu equipo no sea el que tumbe un hospital o un banco en otro país.

‍

Desde nuestra posición, viendo cómo llega este tráfico, no es algo hipotético. Es el pan de cada día.

‍

Las soluciones no son costosas ni exóticas. Cambia las contraseñas predeterminadas. Segmenta tu red para que una cámara comprometida no pueda acceder a nada importante. Aplica parches a lo que puedas y retira lo que no. Conoce lo que está conectado. Haz eso y saldrás de la lista de objetivos fáciles, porque los operadores de botnets ejecutan scripts a gran escala, recogiendo todo lo que encuentran sin protección.

‍

Esta es la mitad del problema que la mayoría pasa por alto. Todo lo anterior trata sobre los ataques que sus dispositivos lanzan. La otra mitad es lo que llega a su puerta.

‍

Cuando una red de bots como Aisuru apunta unos cuantos millones de dispositivos hacia su red, ninguna cantidad de refuerzo interno puede absorber 31 Tbps. Eso debe depurarse en origen, antes de que llegue a usted.

‍

Es la misma lucha desde el otro lado, y es para lo que Nexusguard’s Origin Protection está diseñado: redirige el tráfico de ataque a centros de depuración globales mediante BGP y devuelve el tráfico limpio, mientras que Application Protection intercepta los ataques de Capa 7 más sigilosos que estas redes de bots lanzan cada vez con mayor frecuencia.

‍

Así que cuente sus dispositivos. La cifra será mayor de lo que piensa, y ese es precisamente el punto.

‍

Preguntas frecuentes

¿Cómo sé si un dispositivo de la oficina forma parte de una red de bots?

Esté atento a la actividad de red inexplicable fuera del horario laboral, dispositivos que se calientan o se reinician solos, y una conexión a internet que se ralentiza sin motivo aparente. La comprobación más clara es la lista de dispositivos conectados de su router: cualquier cosa que no pueda identificar, o cualquier dispositivo que genere tráfico cuando la oficina está vacía, merece una investigación inmediata.

‍

¿Qué dispositivos de oficina tienen más probabilidades de ser secuestrados?

Los routers, cámaras IP, DVR e impresoras de red encabezan la lista porque permanecen conectados constantemente, utilizan firmware desactualizado y, a menudo, conservan sus contraseñas de fábrica. Los televisores inteligentes, teléfonos VoIP y dispositivos IoT no gestionados les siguen de cerca. Cualquier dispositivo conectado a internet que nadie mantenga activamente es un candidato.

‍

¿Realmente pueden reclutar mi router para una botnet?

Sí, los routers se encuentran entre los dispositivos más atacados del mundo. Funcionan las 24 horas del día, rara vez se actualizan y frecuentemente mantienen su contraseña de administrador predeterminada. Los atacantes escanean internet en busca de estas credenciales a gran escala. Cambiar la contraseña y actualizar el firmware te elimina inmediatamente del grupo de objetivos fáciles.

‍

¿Cómo elimino un dispositivo de una botnet?

Primero desconéctalo de la red, luego actualiza su firmware a la última versión y realiza un restablecimiento de fábrica para eliminar cualquier malware. Cambia todas las credenciales antes de volver a conectarlo. Si el dispositivo no se puede actualizar o restablecer correctamente, lo más seguro es reemplazarlo en lugar de arriesgarse a una reinfección.

‍

¿Cuál es la diferencia entre una botnet y un ataque DDoS?

Una botnet es la red de dispositivos secuestrados que controla un atacante. Un ataque DDoS es una de las cosas que hacen con ella, dirigiendo todos esos dispositivos hacia un objetivo para inundarlo de tráfico. Tu dispositivo de oficina es el soldado de infantería; el ataque DDoS es la batalla a la que es reclutado.

‍

¿El antivirus o una VPN evitan que mis dispositivos sean reclutados?

No por sí solos. La mayoría de los dispositivos IoT, cámaras, impresoras y routers no pueden ejecutar antivirus, y una VPN no solucionará una contraseña predeterminada o un firmware sin parches. Las defensas reales son básicas: cambia las credenciales, actualiza el firmware, segmenta tu red y elimina los dispositivos que ya no se puedan proteger.

‍

‍