Seguridad · Guía 2026
¿Pueden hackear tu alarma? La capa digital: contraseñas, router y cámaras expuestas
Los riesgos reales por orden de probabilidad (spoiler: el número uno es tu contraseña repetida, no un hacker de película), las credenciales de fábrica que acaban en agregadores, el router y su red de invitados, la caducidad silenciosa del firmware, las 7 defensas que caben en una tarde y el criterio de compra donde el soporte ES el producto. La capa digital, hermana de la guía de inhibidores.
Resumen
Tu alarma ya no es solo radio y sensores: vive en internet, y su capa digital se ataca por los descuidos de siempre, no con sofisticación de película. Los riesgos reales, por orden: contraseñas reutilizadas que ya se filtraron en otra web (el ataque industrial que explica la mayoría de «me han hackeado la cámara»), credenciales de fábrica sin cambiar (las cámaras con admin/admin acaban en agregadores públicos), router débil y puertos abiertos, y firmware sin soporte de marcas anónimas. Las defensas son hábitos, no productos: contraseña única + 2FA (anula el grueso del riesgo en diez minutos), todo lo de fábrica cambiado, WPA2/WPA3 con los cacharros IoT en la red de invitados, actualizaciones al día, supervisión de conexión y doble vía 4G (la doctrina de inhibidores, versión digital), y el repaso de usuarios (fuera ex-parejas e instaladores antiguos). Y al comprar: soporte demostrado gana a chollo anónimo, siempre.
- El punto débil nº 1 no es la alarma: es tu contraseña repetida en otra web filtrada.
- Contraseña única + 2FA: diez minutos que anulan el ataque más común del mundo.
- Toda credencial de fábrica se cambia el día uno: panel, cámaras y admin del router.
- IoT barato a la red de invitados: si un cacharro cae, que caiga solo.
- Si un tutorial te pide abrir puertos del router para ver la cámara: mala señal, no lo hagas.
- Dispositivo sin actualizaciones = caducidad silenciosa: pregunta por el soporte antes de comprar.
Cuando escribimos la guía de los inhibidores, contamos cómo se ataca la capa de radio de una alarma y cómo se defiende. Faltaba la otra mitad del cuadro moderno: tu alarma también vive en internet — una cuenta, una app, un router, a veces una nube — y esa capa digital tiene sus propios ataques y sus propias defensas.
Vaya por delante el tono, porque este tema se cuenta fatal en internet: no venimos a venderte miedo de hackers de película. Venimos a contarte lo que dicen los datos y los expertos en ciberseguridad: el riesgo real de una vivienda son los descuidos, se explota de forma industrial y automatizada, y se anula con hábitos y configuración que caben en una tarde. Como siempre: criterio, no terror, y 59 sistemas documentados detrás.
Una aclaración de responsabilidad antes de empezar: esta guía explica los tipos de riesgo y sus defensas; no encontrarás aquí (ni en ningún contenido nuestro) instrucciones para atacar nada. Proteger, sí; entrenar intrusos, jamás.
El mapa de riesgos, por orden de probabilidad
Riesgo 1: tu contraseña, que ya no era tuya. El gran malentendido de los titulares de «hackearon mi cámara»: en la mayoría de los casos nadie hackeó nada: el atacante ya tenía la contraseña, porque la víctima usaba la misma en una web que sufrió una filtración, y existen herramientas automatizadas que prueban esas credenciales filtradas, por millones, contra todo tipo de servicios: incluidas las apps de alarmas y cámaras. Es un ataque industrial: no te eligen a ti; eligen a todos, y entra el que repite contraseña.
Riesgo 2: la credencial de fábrica. Los dispositivos salen de caja con usuario y contraseña estándar, publicados en el manual. Una parte escandalosa nunca los cambia, y el resultado es conocido: cámaras accesibles con credenciales por defecto que terminan listadas en agregadores públicos de cámaras abiertas: sin ningún mérito técnico del mirón. Aplica también a los códigos de instalador estándar de los paneles clásicos, igual de públicos.
Riesgo 3: el router flojo. Cifrados débiles o redes abiertas, la contraseña de administración sin tocar, WPS activo, y el clásico peligroso: abrir puertos del router siguiendo un tutorial «para ver la cámara desde fuera», que es literalmente exponer el dispositivo a todo internet. Las apps modernas no lo necesitan: si un tutorial te lo pide, es la señal para cerrar el tutorial.
Riesgo 4: la caducidad silenciosa. Firmware con agujeros conocidos que nadie parcheará porque el fabricante anónimo desapareció, o porque el dispositivo dejó su vida útil de soporte atrás hace años. El cacharro sigue funcionando: solo que con las puertas documentadas y abiertas.
Riesgo 5: el ataque dirigido. Existe, y contra objetivos que lo merecen (empresas, patrimonio serio, personas expuestas) se contrata seguridad acorde. Contra una vivienda normal es rarísimo: el intruso medio sigue prefiriendo la ventana abatida a cualquier proeza técnica. No compres miedo: compra los hábitos que anulan los riesgos 1-4, que eran el adversario real.
Las 7 defensas
Comentario de las que lo merecen. La pareja 1+2 (contraseña única de gestor + verificación en dos pasos) anula casi por completo el riesgo número uno del mundo: con contraseña única, la filtración de otra web no te toca; con 2FA, ni tu propia contraseña basta. Es, con distancia, el mejor ratio protección/esfuerzo de toda la seguridad doméstica: diez minutos, una vez.
La 4 esconde la jugada elegante: la red de invitados como barrio del IoT. Enchufes inteligentes, bombillas y cacharros de aluvión, a la red de invitados; tus ordenadores, móviles y el sistema de alarma serio, en la principal. Así, el compromiso del cacharro de 9 euros no es un puente hacia nada: si algo cae, cae solo. La mayoría de routers actuales lo permiten en dos toques.
La 6 es la doctrina de la casa, versión digital. Igual que contra inhibidores pedimos supervisión de radio, y ante el apagón pedimos batería y aviso de corte, aquí pedimos supervisión de conexión (que la pérdida de internet genere un aviso, no un silencio) y doble vía (4G además del WiFi) si proteges algo serio. El patrón es siempre el mismo: la robustez está en los canales y la energía, no en el logotipo.
Y la 7 es la más olvidada: el repaso de usuarios y accesos. La ex-pareja que conserva la app, el casero anterior, el instalador de hace cinco años con su código maestro: la mayor parte de los accesos indebidos reales no vienen de un hacker: vienen de alguien que ya tenía la llave digital y nadie se la quitó. Repásalo hoy, da a cada persona su usuario propio (los sistemas modernos lo permiten y queda registro de quién hace qué), y hazlo de nuevo tras cada cambio vital.
El capítulo aparte: las cámaras
Merecen sección propia porque son el único dispositivo cuyo compromiso duele distinto: no abre tu puerta: te mira. A sus reglas: cuenta única con 2FA (lo dicho: es el 90%); jamás expuestas a internet con puertos abiertos; firmware al día y marca con soporte; tapa física o modo privacidad en las interiores cuando estás en casa (la cámara del salón no necesita verte cenar); y grabación local (tarjeta o grabador) como complemento o alternativa a la nube, que además te independiza de servidores ajenos.
Y la decisión de diseño que resuelve el dilema de raíz, tal y como la contamos en alarma o cámaras: sensores que detectan sin grabar en la mayor parte de la casa, y cámara solo donde aporta verificación. La mejor manera de que no espíen una cámara sigue siendo que no haya cámara donde no hacía falta.
Comprar bien: el soporte es el producto
La capa digital cambia el criterio de compra más de lo que parece: en lo físico, un bombín es tan bueno como su acero; en lo digital, un dispositivo es tan bueno como el equipo que lo mantiene. Tres preguntas a la ficha antes de pagar: ¿publica el fabricante actualizaciones de seguridad con regularidad, y se compromete a hacerlo durante años?; ¿tiene política de seguridad conocida (canal de reporte de vulnerabilidades, historial de parches)?; y ¿qué pasa si su nube se apaga: el dispositivo sigue siendo tuyo o se vuelve pisapapeles? El chollo blanco ultra-barato suspende las tres, y su descuento es exactamente el sueldo del equipo de seguridad que no tiene. En los manuales lo señalamos sistema a sistema.
El cierre, uniendo las tres guías hermanas: tu alarma tiene tres capas — la física (puerta, ventanas, sensores), la de radio (inhibidores, supervisión) y la digital (cuentas, router, firmware) — y las tres se defienden con la misma filosofía: capas redundantes, avisos ante el silencio y hábitos que no fallan. El hacker de película puede dormir tranquilo: no lo necesitabas para estar en riesgo, y no hace falta vencerlo para estar a salvo. Bastaba con dejar de regalar las llaves.
Preguntas frecuentes
¿De verdad pueden hackear una alarma de casa?
Poder, se puede, pero conviene poner el riesgo en su sitio para no comprar miedo: el atacante sofisticado que 'hackea' específicamente tu alarma es un escenario rarísimo para una vivienda normal; lo que sí ocurre, y a escala, son los ataques de oportunidad contra los descuidos de siempre: cuentas con la misma contraseña que ya se filtró en otra web (los atacantes prueban esas credenciales en masa contra miles de servicios), dispositivos que conservan la contraseña de fábrica, cámaras baratas expuestas directamente a internet, routers con configuraciones débiles y aparatos cuyo fabricante dejó de publicar actualizaciones hace años. La buena noticia es simétrica: como el riesgo real vive en los descuidos, las defensas reales son hábitos y configuración, no productos caros. De eso va la guía.
¿Cuál es el punto débil número uno: la alarma o mi cuenta?
Tu cuenta, con diferencia. La forma más común de que un extraño acabe viendo tu cámara o manejando tu alarma no es un fallo del cacharro: es que tu contraseña ya era suya, porque usaste la misma en una web que sufrió una filtración y alguien la probó en tu app de la alarma. Este ataque (probar credenciales filtradas de forma masiva) es industrial, automatizado y barato, y explica la mayoría de los 'me han hackeado la cámara' que salen en prensa. Las dos defensas que lo anulan casi por completo: una contraseña ÚNICA para la cuenta de tu alarma (larga, generada por un gestor de contraseñas) y la verificación en dos pasos (2FA) activada, de modo que ni con tu contraseña puedan entrar. Diez minutos de configuración que valen más que cualquier accesorio.
¿Qué pasa con las contraseñas por defecto de los aparatos?
Que son la puerta abierta más tonta del mundo digital: muchos dispositivos (cámaras, grabadores, routers, algunos paneles) salen de fábrica con usuario y contraseña estándar (del tipo admin/admin), publicados en el propio manual, y una parte escandalosa de la gente jamás los cambia. Existen buscadores y listados que localizan dispositivos expuestos en internet, y las cámaras con credenciales de fábrica acaban en agregadores públicos de cámaras abiertas: no por un hackeo sofisticado, sino porque literalmente nadie puso contraseña propia. La regla: el día de la instalación, TODA credencial por defecto se cambia (panel, cámaras, grabador y, muy especialmente, el router), y los códigos de instalador estándar de los paneles clásicos también, porque son igual de públicos.
¿Cómo protejo el WiFi para que la alarma esté segura?
El router es la puerta de tu casa digital y merece los mismos cinco minutos que el bombín de la física. Lo esencial: cifrado WPA2 o, mejor, WPA3 (jamás redes abiertas ni el prehistórico WEP); una contraseña de WiFi larga y propia (no la de la pegatina si el modelo la genera con patrones conocidos); la contraseña de ADMINISTRACIÓN del router cambiada (es distinta de la del WiFi y es la que de verdad manda); WPS desactivado si no lo usas; y el firmware del router actualizado (muchos se actualizan solos: verifica que lo tenga activado). Y la jugada fina que recomiendan los expertos: la red de invitados para los cacharros: enchufes, bombillas y demás IoT de bajo pelo a la red de invitados, separados de tus ordenadores y de los dispositivos serios: si un cacharro barato cae, que caiga solo.
¿Pueden dejar la alarma 'muda' cortándole el WiFi o la señal?
Es la pregunta puente entre este artículo y su hermano de radio: sí, las comunicaciones se pueden atacar o simplemente caerse, y por eso la doctrina es idéntica a la que contamos en la guía de inhibidores y en la del apagón: la robustez de una alarma se mide por sus canales y su energía, no por su marca. En lo digital, eso se traduce en tres exigencias: supervisión (que el sistema detecte y te avise de la pérdida de conexión, no que se quede callado), doble vía (WiFi más comunicación móvil 4G, de serie o como módulo, para que cortar una no corte todo) y batería con aviso de corte. Si tu kit actual es 100% WiFi sin supervisión, no está 'hackeado': está ciego por diseño ante el fallo más simple, y la mejora va por ahí antes que por ningún antivirus.
¿Las cámaras son el mayor riesgo de privacidad? ¿Qué hago con ellas?
Sí, porque son el único dispositivo cuyo compromiso duele de verdad: no abre tu puerta, pero te mira. Las reglas específicas: cuenta única con 2FA (lo dicho: anula el grueso del riesgo); nada de exponer la cámara directamente a internet abriendo puertos del router 'para verla desde fuera' (las apps modernas no lo necesitan: si un tutorial te pide abrir puertos, mala señal); firmware al día y marca con historial de soporte; tapa física o modo privacidad para las cámaras interiores cuando estás en casa (la cámara del salón no necesita mirarte cenar); y grabación local (tarjeta o grabador) como complemento o alternativa a la nube, que además te independiza de servidores ajenos. Y la decisión de diseño más elegante: sensores que detectan sin grabar donde no hace falta imagen, y cámara solo donde aporta verificación, como contamos en alarma o cámaras.
¿Importa la marca? ¿Qué miro antes de comprar para no llevarme un problema?
Importa, pero no como prestigio sino como compromiso verificable. Tres preguntas a la ficha antes de comprar: ¿el fabricante publica actualizaciones de seguridad con regularidad y durante cuántos años? (un dispositivo sin actualizaciones es un dispositivo con fecha de caducidad silenciosa); ¿tiene la empresa un canal y política de seguridad conocidos (reporte de vulnerabilidades, historial de parches rápidos)?; y ¿qué pasa si el fabricante desaparece o apaga sus servidores? (los dispositivos blancos ultra-baratos dependientes 100% de una nube anónima pueden convertirse en pisapapeles, o algo peor: seguir funcionando sin que nadie parchee jamás sus agujeros). En nuestros manuales lo señalamos sistema a sistema; como regla rápida: ecosistema conocido con soporte demostrado gana a chollo anónimo, siempre, y la diferencia de precio es el sueldo del equipo que vigila tus agujeros.
¿Cuál es la lista mínima que debería dejar hecha hoy?
Siete gestos, casi todos de una sola vez: 1) contraseña única y larga para la cuenta de la alarma y las cámaras (gestor de contraseñas mediante); 2) verificación en dos pasos activada en todas ellas; 3) credenciales por defecto cambiadas en panel, cámaras, grabador y router (la de administración del router incluida); 4) WiFi en WPA2/WPA3, WPS fuera, y los cacharros IoT a la red de invitados; 5) actualizaciones automáticas activadas donde existan, y un repaso trimestral donde no; 6) supervisión de conexión y aviso de corte activados en la app (y doble vía 4G si proteges algo serio); y 7) el repaso de usuarios: quita accesos de ex-parejas, ex-caseros e instaladores antiguos, y da a cada persona su usuario propio. Con esa lista hecha, tu alarma deja de ser objetivo de oportunidad: y contra una vivienda normal, el oportunista era todo el adversario real.
¿Tu sistema aprueba la capa digital?
Te ayudamos a revisarla con criterio
Cuentas, 2FA, router, doble vía y qué sistemas tienen soporte de verdad: cuéntanos qué tienes (o qué vas a comprar) y te orientamos sin venderte miedo. Sin marcas pagando por salir.
Pedir presupuesto gratisReferencias
- Guías de organismos de ciberseguridad (INCIBE y equivalentes europeos) sobre seguridad del hogar conectado: credenciales por defecto, contraseñas reutilizadas y filtraciones, verificación en dos pasos, configuración de routers domésticos (WPA2/WPA3, WPS, red de invitados) y actualizaciones de firmware.
- Casuística pública sobre cámaras domésticas expuestas por credenciales de fábrica y agregadores de cámaras abiertas, y recomendaciones del sector sobre no exponer dispositivos mediante apertura de puertos.
- Documentación técnica de los sistemas de nuestra vertical de manuales: supervisión de conexión, doble vía WiFi+4G, gestión multiusuario y políticas de actualización por fabricante.
- Guías propias relacionadas: alarmas anti inhibición (la capa de radio); alarma y corte de luz (la capa de energía); alarma o cámaras; hemeroteca de manuales.
Contenido informativo verificado a julio de 2026, orientado exclusivamente a la protección. No proporcionamos ni proporcionaremos instrucciones de ataque o intrusión.