La cámara no solo te mira a ti
Investigadores de seguridad de OPSWAT han informado de dos vulnerabilidades graves en las cámaras domésticas TP-Link Tapo C200 y C120. Estos dispositivos se venden como cámaras para vigilar a niños y mascotas. La Tapo C200, una cámara motorizada para interiores, cuesta unos 26,99 dólares en Amazon y es uno de los modelos más populares: solo en esa plataforma se han vendido más de 3.000 unidades. La versión actual de la Tapo C120 vende más de 5.000 unidades al mes.
El problema más grave tiene el identificador CVE-2026-15315 y una puntuación de 8,7 sobre 10. En determinadas condiciones, un atacante conectado a la misma red wifi puede acceder a la cámara como administrador sin conocer la contraseña. A partir de ahí, puede ver la retransmisión en directo y las grabaciones guardadas, y cambiar la configuración del dispositivo.
La vulnerabilidad está relacionada con el mecanismo de inicio de sesión. Las cámaras utilizan HTTPS y un sistema de comprobación de tipo «desafío-respuesta»: el dispositivo genera un valor que el cliente debe procesar para demostrar que conoce la contraseña del propietario. Los investigadores de OPSWAT Khoi Tran y Thai Do descubrieron una vía alternativa de verificación. En ciertas circunstancias, se puede enviar de vuelta el valor que la cámara entrega durante el inicio de sesión y el dispositivo lo acepta como respuesta correcta. Bastan unas pocas solicitudes para hacerse con una sesión de administrador: no hace falta la contraseña, una sesión ya abierta ni registrar a un nuevo propietario.
Las consecuencias son especialmente inquietantes en una cámara instalada en la habitación de un niño: el atacante puede acceder al vídeo en directo, al modo nocturno, a la detección del llanto y al audio bidireccional. En otras palabras, el dispositivo que los padres compraron para estar tranquilos puede convertirse en un ojo y un oído a distancia, si el propietario no actualiza el firmware a tiempo.
La segunda vulnerabilidad, CVE-2026-15316, tiene una puntuación de 7,1 y solo afecta a la Tapo C200. Se encuentra en el código que conecta la cámara a la wifi. Un fragmento de datos cifrados especialmente manipulado y demasiado grande puede provocar un fallo del servicio HTTPS o reiniciar por completo el dispositivo. Hasta que la cámara se recupera, el propietario no puede controlarla ni vigilar con ella. Según TP-Link, este problema no afecta a la Tapo C120.
Ambos modelos han recibido actualizaciones de firmware que corrigen las vulnerabilidades publicadas. Los propietarios de la Tapo C120 versión V1 deben instalar la actualización especialmente pronto: el aviso de OPSWAT indica que esta versión de hardware sigue siendo vulnerable si no se instala el nuevo firmware.
El riesgo no es ilimitado: por lo general, para llevar a cabo el ataque, el atacante debe estar en la misma red wifi o en un entorno de confianza conectado a ella. Pero eso no convierte el problema en algo inocuo: un router doméstico comprometido, una red compartida o un dispositivo infectado pueden crear las condiciones necesarias.
Hay otro motivo para no aplazar la actualización. OPSWAT ha anunciado una vulnerabilidad crítica que podría permitir tomar el control total de la cámara y utilizarla como punto de entrada a la red interna. Los investigadores aún no han revelado los detalles, a la espera de que TP-Link publique una solución. Ni OPSWAT ni el fabricante han anunciado cuándo estará disponible el parche correspondiente. Así que la conclusión práctica es sencilla: instalar el firmware más reciente para el modelo y no tratar la cámara doméstica como un juguete inofensivo.
PEREC.RU
La historia de las cámaras TP-Link Tapo C200 y C120 no es otro aviso más sobre software agujereado que uno puede leer, suspirar y olvidar. Hablamos de dispositivos domésticos populares, instalados precisamente donde la gente espera tener intimidad: en habitaciones infantiles, junto a las camas y en espacios donde están las mascotas.
Los investigadores de OPSWAT han encontrado la vulnerabilidad CVE-2026-15315, que permite a alguien conectado a la misma red wifi obtener privilegios de administrador sin conocer la contraseña. El fallo está en el mecanismo de verificación del inicio de sesión: en ciertos casos, la cámara acepta como prueba válida de que se conoce la contraseña un valor que ella misma ha entregado al cliente. Así, el atacante puede acceder al vídeo en directo, a las grabaciones y a la configuración del dispositivo. En la Tapo C200 también quedan al alcance la visión nocturna, la detección del llanto y el audio bidireccional.
El segundo problema, CVE-2026-15316, solo afecta a la C200. Enviar un fragmento demasiado grande de datos cifrados durante la conexión a la wifi puede hacer que falle el servicio HTTPS o se reinicie la cámara. El usuario pierde temporalmente el control del dispositivo y de la vigilancia. TP-Link señala que la C120 no está afectada por esta vulnerabilidad.
Las nuevas versiones del firmware ya corrigen ambos problemas publicados. Los propietarios de la Tapo C120 de hardware V1 deben prestar especial atención: sin actualizarla, sigue siendo vulnerable. Aunque el ataque requiere estar en la misma red o en un entorno de confianza, sigue siendo un escenario plausible si el router está comprometido, se utiliza una wifi compartida o hay un dispositivo infectado.
La situación se complica porque OPSWAT ha detectado otra vulnerabilidad crítica que podría permitir tomar el control total de la cámara y utilizarla como punto de entrada a la red interna. Los investigadores no han publicado aún los detalles porque esperan una solución de TP-Link. Ni el fabricante ni OPSWAT han anunciado cuándo saldrá.
La conclusión práctica para los propietarios es sencilla: comprobar el modelo exacto de la cámara, instalar el firmware más reciente disponible, actualizar el router y dejar de tratar la cámara doméstica como un dispositivo sin riesgo. Una cámara conectada a la red es un pequeño ordenador con objetivo, micrófono y memoria, no un simple ojo de plástico en una estantería.
