De todos los tipos de malware que he ido documentándome, este es el que más conecta con lo que ya sé de redes por ASIR — porque una botnet no es un tipo de malware en sí mismo, es lo que pasa después de que muchos dispositivos distintos ya estén infectados, y entender por qué los routers y las cámaras son el objetivo preferido tiene que ver directamente con configuración de red básica.

Qué es una botnet

Una botnet es una red de dispositivos infectados —llamados bots o zombies— que un atacante controla de forma centralizada y coordinada, normalmente sin que los dueños de esos dispositivos tengan ni idea de que forman parte de ella. El propio dispositivo sigue funcionando con aparente normalidad para su dueño (el router sigue dando wifi, la cámara sigue grabando) mientras, en paralelo, obedece órdenes de un servidor de control remoto.

Lo que hace peligrosa a una botnet no es cada dispositivo individual — es la suma. Un solo equipo infectado apenas puede hacer daño; cien mil equipos actuando a la vez, de forma sincronizada, sí.

Para qué se usa una botnet

Un atacante que controla una botnet suele usarla para:

  • Ataques DDoS (Distributed Denial of Service): hacer que todos los bots envíen tráfico a la vez contra un servidor o servicio concreto, saturándolo hasta dejarlo inaccesible para usuarios legítimos.
  • Envío masivo de spam, aprovechando la dirección IP de miles de dispositivos distintos en vez de una sola, que sería fácil de bloquear.
  • Distribución de más malware, usando los propios bots como plataforma de lanzamiento.
  • Minado de criptomonedas a escala, combinando cryptojacking con el control simultáneo de muchísimos dispositivos.

Por qué routers y cámaras IP, y no solo ordenadores

Esta es la parte que de verdad conecta con lo que hemos visto en ASIR sobre redes. Los ordenadores de sobremesa y portátiles suelen tener antivirus, actualizaciones automáticas del sistema operativo, y un usuario que al menos de vez en cuando se preocupa por su seguridad. Los dispositivos IoT (routers domésticos, cámaras de seguridad, grabadores de vídeo, incluso algunas televisiones “smart”) normalmente no tienen nada de eso, y encima suman varios factores que los convierten en el blanco perfecto:

  • Contraseñas por defecto que nadie cambia. Muchos routers y cámaras se venden con usuario y contraseña de fábrica (admin/admin, admin/1234), y una parte enorme de los usuarios nunca los cambia tras instalarlos.
  • Sin actualizaciones, o casi nunca. Un ordenador te avisa constantemente de actualizaciones pendientes; una cámara IP puede llevar el mismo firmware desde el día que se fabricó, con vulnerabilidades conocidas y sin parchear.
  • Están encendidos las 24 horas. Un portátil se apaga, un router y una cámara de seguridad no — eso los hace disponibles para el atacante de forma constante, sin ventanas de inactividad.
  • Nadie los mira. No hay ningún indicador visual de que una cámara IP esté haciendo algo raro en segundo plano — a diferencia de un ordenador, donde un ventilador a máxima velocidad o el equipo yendo lento al menos llama la atención de alguien.

La combinación de estos cuatro factores — contraseña débil, sin parches, siempre encendido, sin supervisión — hace que un dispositivo IoT mal configurado sea, en la práctica, mucho más fácil de comprometer que un ordenador moderno con antivirus activo.

Un caso real que marcó un antes y un después

El ejemplo histórico más citado en este tema es la botnet Mirai (2016), que infectó cientos de miles de dispositivos IoT —principalmente routers y cámaras IP— explotando precisamente contraseñas por defecto que nadie había cambiado. Con esa red de dispositivos, sus operadores lanzaron algunos de los ataques DDoS más grandes registrados hasta ese momento, llegando a afectar a servicios de Internet de uso masivo. Lo relevante no es el dato histórico en sí, sino lo que demuestra: no hicieron falta técnicas sofisticadas, bastó con recorrer Internet probando combinaciones de usuario y contraseña por defecto en dispositivos que nadie se había molestado en proteger.

Qué tiene que ver esto con administrar redes de verdad

Desde el lado de quien administra una red (que es, al final, buena parte de lo que se estudia en ASIR), la lección de las botnets IoT es bastante directa y aplicable:

  1. Cambiar siempre las credenciales por defecto de cualquier dispositivo que se conecte a la red, sin excepción — router, cámara, NAS, lo que sea.
  2. Mantener el firmware actualizado, igual que se actualiza un sistema operativo.
  3. Segmentar la red para que los dispositivos IoT no compartan la misma red que los equipos con datos sensibles — así, si un dispositivo IoT se compromete, el daño queda contenido.
  4. No exponer servicios de gestión remota a Internet sin necesidad real, que es exactamente el tipo de configuración descuidada que convierte un dispositivo en un backdoor accidental.

Pon a prueba lo que has entendido

¿Por qué los routers y cámaras IP suelen ser un objetivo más fácil para una botnet que un ordenador con antivirus?

Resumen rápido

Una botnet es una red de dispositivos infectados que un atacante controla de forma centralizada, usada sobre todo para ataques DDoS, spam masivo y distribución de malware a gran escala. Los routers y cámaras IP son el objetivo preferido frente a los ordenadores porque combinan contraseñas por defecto, ausencia de actualizaciones, funcionamiento constante y cero supervisión — el caso de la botnet Mirai en 2016 demostró lo lejos que puede llegar esa combinación sin necesitar ninguna técnica sofisticada. Cambiar credenciales por defecto y mantener el firmware actualizado no es un consejo genérico de manual: es literalmente lo que separa un dispositivo seguro de un bot más dentro de una red como esta.