El Cyber Resilience Act no nació en un despacho: nació de una realidad incómoda. Durante la última década, los productos conectados —cámaras IP, routers, domótica, equipos industriales— se han convertido en el objetivo favorito de los atacantes, precisamente porque llegan al mercado con vulnerabilidades que rara vez se corrigen. Repasar casos reales, todos de dominio público, explica mejor que ningún texto legal por qué el CRA obliga a diseñar seguro, mantener un SBOM y notificar.
Mirai: el patrón que se repite
En 2016, el malware Mirai demostró lo fácil que era construir una botnet masiva a partir de dispositivos IoT con credenciales por defecto. Casi una década después, ese patrón sigue vigente: variantes de Mirai continúan reclutando cámaras y routers sin parchear. No hace falta un exploit sofisticado; basta con escanear internet en busca de dispositivos vulnerables y enviar la petición adecuada. La lección es que la superficie de ataque no es teórica: son millones de dispositivos reales conectados y desatendidos.
Cámaras IP: el ejemplo más documentado
Las cámaras de videovigilancia son el caso de libro. La vulnerabilidad CVE-2021-36260, una ejecución remota de código sin autenticación en el servidor web de numerosas cámaras y grabadores Hikvision, afectó a decenas de miles de dispositivos. Un atacante podía tomar el control enviando un simple mensaje con comandos maliciosos, sin pasar por ningún login. Investigadores de seguridad documentaron cómo la botnet Moobot (una variante de Mirai) la explotó para sumar dispositivos a enjambres de DDoS, y la agencia estadounidense CISA la incluyó entre las vulnerabilidades explotadas activamente. Aunque el fabricante publicó el parche en 2021, años después seguían apareciendo miles de cámaras sin actualizar y expuestas en internet.
No es un caso aislado. En 2024, la vulnerabilidad CVE-2024-7029 en cámaras AVTECH —una inyección de comandos en la función de brillo— motivó un aviso de CISA para sistemas de control industrial (ICS), citando su explotación pública y la baja complejidad del ataque; una campaña basada en Mirai la aprovechó junto a otras vulnerabilidades antiguas. En 2025, investigadores atribuyeron actividad de explotación a fallos de inyección de comandos en dispositivos GeoVision ya retirados del soporte, y una botnet identificada como Eleven11bot llegó a infectar del orden de decenas de miles de cámaras y grabadores.
Del hogar conectado a la infraestructura crítica
El riesgo no se queda en el ámbito doméstico. Las mismas cámaras y grabadores vulnerables se usan en sectores como finanzas, sanidad o transporte, lo que convierte un fallo "de consumo" en un problema de infraestructura. Se han documentado incidentes en los que dispositivos comprometidos se han usado para movimiento lateral dentro de redes corporativas, y ataques que han dejado equipos permanentemente fuera de servicio. En el hogar conectado —cerraduras, timbres con cámara, monitores de bebé, asistentes— la superficie crece con cada dispositivo añadido, y muchos comparten los mismos problemas: contraseñas débiles, firmware sin firmar y ausencia de actualizaciones.
Cuando la explotación se vuelve geopolítica
El salto más inquietante llegó en marzo de 2026, cuando investigadores documentaron que actores estatales explotaron varias vulnerabilidades conocidas en cámaras Hikvision y Dahua repartidas por Oriente Medio, convirtiendo cámaras de videovigilancia en herramientas de reconocimiento en tiempo real. Que un dispositivo "de seguridad" se transforme en un sensor para el adversario ilustra el nivel de riesgo que un producto conectado inseguro puede llegar a representar.
Cómo responde el CRA a esta cadena
El CRA ataca cada eslabón del problema que muestran estos casos:
- Diseño seguro (Anexo I, Parte I): nada de contraseñas por defecto ni interfaces sin autenticar; minimización de la superficie de ataque desde el diseño.
- SBOM e inventario: saber qué componentes lleva el producto para poder reaccionar cuando aparece una vulnerabilidad en uno de ellos.
- Gestión continua de vulnerabilidades: cruzar los componentes contra fuentes como OSV, la lista CISA KEV de vulnerabilidades explotadas y la europea EUVD, y corregir sin demora.
- Actualizaciones durante el ciclo de vida: el fabricante debe distribuir parches gratuitos durante el periodo de soporte, no abandonar el producto tras venderlo.
- Notificación: comunicar a las autoridades las vulnerabilidades explotadas activamente, para que el ecosistema reaccione más rápido.
Ninguna de estas medidas es exótica: son, punto por punto, lo que habría evitado que las cámaras de los ejemplos anteriores acabaran en una botnet. El CRA convierte en obligación lo que la buena ingeniería ya recomendaba.
Por qué los productos conectados son un objetivo tan fácil
Tres factores explican por qué estos dispositivos se explotan una y otra vez. Primero, la economía del ataque: comprometer una cámara con una vulnerabilidad conocida es barato y automatizable, y un enjambre de miles de dispositivos tiene valor inmediato (DDoS de alquiler, proxies, minado, reconocimiento). Segundo, el abandono: muchos productos dejan de recibir parches poco después de venderse, o los reciben pero nadie los instala, porque no hay actualización automática ni aviso al usuario. Y tercero, la exposición: buscadores especializados permiten localizar en minutos dispositivos vulnerables expuestos a internet, con su ubicación aproximada. La combinación es explosiva: mucho objetivo, poco parcheo y coste de ataque casi nulo. El CRA rompe ese círculo por diseño —seguridad por defecto, soporte durante la vida útil y actualización sin fricción— en lugar de confiar en que el usuario final haga de administrador de sistemas.