- La mayoría de los incidentes reales pasaron por una cuenta en la nube o por los servidores del fabricante, no por tu Wi-Fi: desconocidos hablando por cámaras Nest en habitaciones de bebés con contraseñas reutilizadas (enero de 2019), 55.000 cuentas de Ring abiertas igual (2017–2018), 13.000 usuarios de Wyze viendo miniaturas de desconocidos tras un error de servidor (febrero de 2024), eufy admitiendo en enero de 2023 que sus emisiones web no iban cifradas.
- El resto fueron cámaras en internet con una contraseña de fábrica. La botnet Mirai se hizo con unos 380.000 dispositivos en 2016 con una lista de solo 62 accesos por defecto.
- Una app "solo local" elimina la cuenta y los servidores, así que no hay nada donde un desconocido pueda entrar. La contraseña del router, el firmware de la cámara y el bloqueo del teléfono siguen siendo cosa tuya.
- Mamoon no tiene nube ni cuenta; la imagen se queda en tu Wi-Fi de casa y la detección de llanto se hace en el teléfono. Fuera de casa usa Tailscale, una VPN con cifrado de extremo a extremo. Dormi, Cloud Baby Monitor y Baby Monitor 3G también funcionan en local.
- Siete pasos cubren casi todo: contraseña del router y WPA2/WPA3, actualizaciones de la cámara, ninguna contraseña por defecto, verificación en dos pasos en las cuentas en la nube, UPnP desactivado, cuidado con las redes de invitados y un teléfono viejo actualizado, sin sesiones abiertas y con bloqueo.
¿De verdad han hackeado vigilabebés y cámaras domésticas?
Sí. Lo llamativo es lo corrientes que fueron los métodos: alguien inició sesión, o los propios sistemas de una empresa se equivocaron. Incidentes comprobados el 13 de octubre de 2026:
| Cuándo | Quién | Qué pasó | Cómo |
|---|---|---|---|
| 2016 | Botnet Mirai | Unas 380.000 cámaras, grabadores y routers tomados para ataques | 62 accesos de fábrica habituales probados en dispositivos alcanzables desde internet |
| 2017–2018 (orden de la FTC, mayo de 2023) | Ring (Amazon) | Unas 55.000 cuentas de EE. UU. abiertas por desconocidos. Aparte, un empleado vio durante meses miles de vídeos de mujeres | Relleno de credenciales con contraseñas filtradas en otros sitios; según la FTC, Ring no ofreció autenticación multifactor hasta 2019 |
| Enero de 2019 | Google Nest | En Orinda (California), la cámara Nest de una familia emitió un falso aviso de misiles norcoreanos. En Lake Barrington (Illinois), una voz desconocida salió de la cámara de la habitación de un bebé de 7 meses y subieron el termostato a 32 °C (90 °F) | Contraseñas reutilizadas de otros sitios filtrados; Google dijo que Nest no había sufrido una brecha, escribió a los dueños en febrero de 2019 para que activaran la verificación en dos pasos y, desde la primavera de 2020, exigió un código por correo en las cuentas Nest |
| Mayo de 2019 – febrero de 2020 | iBaby M6S | Se podían obtener de la nube del fabricante los clips de alerta de cualquier cámara, además de los correos y ubicaciones de los dueños | Claves de la nube incrustadas en la cámara y un fallo de identificadores; corregido en marzo de 2020 tras la publicación de Bitdefender |
| Del 4 al 26 de diciembre de 2019 | Wyze | Una base de datos con datos de unos 2,4 millones de usuarios estuvo abierta en internet: correos, nombres de cámaras, nombres de redes Wi-Fi, unos 24.000 tokens de Alexa. Sin contraseñas y sin vídeo | Un servidor mal configurado del fabricante, descubierto por investigadores externos |
| Marzo de 2019 – marzo de 2022 | Wyze Cam | Bitdefender halló una elusión del inicio de sesión, un fallo de ejecución remota de código y acceso abierto a las grabaciones de la tarjeta SD. Wyze corrigió las v2 y v3 en casi tres años; la Wyze Cam v1 original se descatalogó sin corregirse | Fallos del propio software de la cámara, alcanzables por red |
| Noviembre de 2022 – enero de 2023 | eufy (Anker) | Cámaras de "almacenamiento local" subían miniaturas a la nube; las emisiones web se abrían sin cifrar en un reproductor. Anker lo admitió y pasó a WebRTC cifrado | Diseño y márketing del fabricante, no una intrusión |
| 8 de septiembre de 2023 | Wyze | Unos 2.300 usuarios del visor web pudieron ver las cámaras de otras 10 personas durante unos 40 minutos | Un ajuste de caché equivocado durante una actualización de servidores |
| 16 de febrero de 2024 | Wyze | Unos 13.000 usuarios recibieron miniaturas de cámaras de desconocidos; 1.504 las tocaron. Sin vídeo en directo | Tras una caída de AWS, una librería de caché confundió los identificadores de dispositivo y de usuario |
Cada empresa corrigió su problema o retiró el producto; nada de esto significa que sus productos actuales sean inseguros. Lo importante es el patrón: el punto débil casi siempre fue la cuenta, los servidores del fabricante o un dispositivo abierto a internet.
¿Cómo se hackea de verdad un vigilabebés?
Seis puertas, más o menos por orden de frecuencia:
- Tu cuenta en la nube. Alguien prueba tu correo con una contraseña filtrada de otro sitio. Misma contraseña, sin segundo factor: están dentro.
- El lado del fabricante. Un fallo en los servidores del proveedor enseña tu cámara a otra persona (Wyze), o el proveedor guarda más de lo que dijo (eufy, iBaby). Eso no lo puedes parchear; solo puedes elegir cuánto llega a esos servidores.
- Una cámara expuesta a internet. Abrir puertos o activar UPnP deja la página de acceso de la cámara alcanzable desde cualquier sitio; añade una contraseña de fábrica y tienes Mirai.
- Un Wi-Fi débil. Una contraseña de Wi-Fi corta o un router con su acceso de administración de fábrica deja entrar a un vecino en tu red, donde una cámara local es un dispositivo más.
- La nube de la propia cámara. Una cámara Wi-Fi sigue hablando con su fabricante aunque la veas en otra app. TP-Link dice que las cámaras Tapo necesitan internet para la primera configuración, la visualización remota, el uso compartido y la sincronización de la hora, y que, una vez configuradas, funcionan en local. Si no quieres ese tráfico, bloquea el acceso a internet de la cámara en el router.
- El propio teléfono. Un teléfono de los padres sin bloqueo de pantalla, o un teléfono del bebé con tu correo abierto, es la mayor exposición ante quien llegue a tenerlo en la mano.
¿Se puede hackear un vigilabebés sin Wi-Fi?
Mucho más difícil, y no desde la otra punta del mundo. Un vigilabebés por radio (cámara más unidad de padres, sin Wi-Fi ni app) no tiene cuenta a la que entrar ni nada en internet que encontrar. Para escuchar, alguien tiene que estar al alcance de la radio, cerca de tu casa, y saber qué sintonizar.
- Los vigilabebés analógicos antiguos emiten como una radio. Consumer Reports avisaba ya en 2009 de que los vecinos con un vigilabebés parecido o un teléfono inalámbrico podían oírlos, y aconsejaba comprar uno digital. Si el tuyo sisea y cruje, es analógico.
- Los vigilabebés digitales (Infant Optics, Philips Avent, VTech, Motorola) emparejan la cámara con la unidad de padres y saltan entre frecuencias (FHSS) o usan DECT. La National Cybersecurity Alliance llama a los FHSS el tipo más seguro, aunque advierte de que lo digital "no es inmune"; los investigadores de ESET los consideran "una apuesta más segura en conjunto, aunque con funciones más limitadas", porque quien espía debe estar al alcance y conocer la frecuencia. No hemos encontrado ningún caso documentado de un vigilabebés digital por radio interceptado.
La contrapartida es la del nombre: sin Wi-Fi tampoco hay teléfono, ni segundo progenitor mirando, ni ver la habitación desde el sofá de abajo si está fuera de alcance. Una app solo local como Mamoon está en medio: usa tu Wi-Fi pero ninguna cuenta ni servidor, así que las puertas de escala internet siguen cerradas y conservas el teléfono.
Qué preocupa de verdad a los padres en los foros
Las mismas preguntas salen una y otra vez en los hilos de crianza. Respuestas cortas:
- "¿Podría un desconocido hablar con mi bebé por el vigilabebés?" En los casos conocidos (Nest, Ring), solo a través de la cuenta en la nube del dueño con una contraseña reutilizada. Contraseña única más verificación en dos pasos cierra esa puerta; una app sin cuenta no la tiene.
- "¿Puede mi vecino ver nuestra cámara?" Solo con la contraseña de tu Wi-Fi, o con un vigilabebés analógico antiguo. Una contraseña de Wi-Fi larga y WPA2/WPA3 mantienen una cámara local dentro de tu hogar.
- "¿Puede la empresa mirar?" Si el vídeo pasa por sus servidores, sus sistemas y su personal pueden ser un riesgo: el caso del empleado de Ring y los errores de Wyze lo muestran. Si el vídeo nunca sale de casa, no hay nada que ver de su lado.
- "¿Es segura una cámara Wi-Fi barata sin marca?" La marca importa menos que las actualizaciones, cambiar la contraseña por defecto y no tener puertos abiertos. Mira antes de comprar cuánto tiempo promete el fabricante actualizaciones.
La autocomprobación de dos minutos
Responde sí o no, para el vigilabebés que uses esta noche:
- ¿La contraseña de la cuenta de la app del vigilabebés no se usa en ningún otro sitio?
- ¿Tiene activada la verificación en dos pasos esa cuenta (o no hay cuenta)?
- ¿Has cambiado las contraseñas de fábrica de la cámara y del router?
- ¿Están desactivados UPnP y la redirección de puertos en el router?
- ¿La cámara actualiza su firmware y el fabricante sigue publicando actualizaciones?
- ¿El Wi-Fi usa WPA2 o WPA3 con una contraseña larga?
- ¿El teléfono viejo junto a la cuna tiene bloqueo, está actualizado y sin tu correo abierto?
- ¿Sabrías decir ahora mismo adónde va tu vídeo: solo a tu casa, o a los servidores de una empresa?
Dos o más "no": arregla primero esos. La lista de abajo te explica cómo, paso a paso.
¿Qué cambia "solo local, sin cuenta" y qué no?
Una app solo local manda el vídeo de la cámara a tu teléfono por tu propio Wi-Fi y ahí se queda. Sin cuenta, no hay nada que rellenar con credenciales. Sin servidores que guarden tu vídeo, una avería no puede enseñar tu habitación a un desconocido y un empleado no puede curiosearla. Eso cierra las dos primeras puertas, las de los casos más grandes.
Las demás puertas están en tu casa: el router, el firmware de la cámara, el teléfono con el que miras. "Local" las pone en tus manos, y de eso se trata.
Cómo lo hace Mamoon
No hay cuenta de Mamoon ni nube de Mamoon. El vídeo va del teléfono junto a la cuna o de la cámara al teléfono de los padres por tu Wi-Fi de casa y funciona con internet caído. La detección de llanto se ejecuta en el propio teléfono, así que ningún audio sale de él. No hay grabaciones ni clips en la nube que filtrar; el resumen de la mañana se queda en tu teléfono.
Fuera de casa, Mamoon usa Tailscale, una VPN gratuita basada en WireGuard. Tailscale documenta que el tráfico va cifrado de extremo a extremo entre tus dispositivos y que sus servidores de relevo solo manejan paquetes ya cifrados: las claves privadas nunca salen de tus teléfonos, así que un relevo no puede leer el vídeo. Se instala en los dos teléfonos, o en un servidor doméstico para una cámara Wi-Fi.
Mamoon no es la única app que funciona así. Dormi (solo Android) anuncia emisión cifrada, sin anuncios y sin rastreo. Cloud Baby Monitor usa solo tu Wi-Fi de casa por defecto y no necesita internet salvo que actives su Alcance Ilimitado. Baby Monitor 3G no exige cuenta y cifra la conexión; funciona por Wi-Fi o por datos móviles. Bibino dice claramente que la comunicación pasa por sus servidores y que las grabaciones Premium se guardan allí 21 días, lo que le da alcance sin configurar nada. Cada una traza la línea en un sitio distinto.
¿Es seguro usar un teléfono viejo como vigilabebés?
En un aspecto, un teléfono viejo es más seguro que una cámara Wi-Fi: ningún puerto abierto en tu router y ninguna nube propia del fabricante. Los riesgos son los del teléfono. Uno demasiado viejo para recibir actualizaciones de seguridad tiene agujeros conocidos y publicados; uno con tu correo y tus fotos abiertos es un tesoro para quien lo coja. Actualízalo hasta donde llegue, quita las cuentas que no necesite y pon un bloqueo de pantalla. La configuración está en la guía del teléfono viejo.
La lista de pasos
- Asegura el router. Pon el cifrado Wi-Fi en WPA2 o WPA3 y cambia las dos contraseñas: la del Wi-Fi y el acceso de administración del router. INCIBE aconseja cambiar el nombre y la contraseña del Wi-Fi, usar WPA3 si está disponible (si no, WPA2), actualizar el firmware del router y desactivar la administración remota.
- Actualiza el firmware de la cámara. Activa las actualizaciones automáticas si las ofrece, como aconseja el NCSC británico, y como INCIBE: mantener los dispositivos IoT con el último firmware del fabricante. Desde abril de 2024, la ley del Reino Unido obliga a los fabricantes a publicar cuánto tiempo darán actualizaciones; mira esa cifra antes de comprar.
- Cambia todas las contraseñas por defecto. La de la cámara, la del router y la cuenta de cámara en una Tapo. Todo el arsenal de Mirai era una lista de 62 accesos de fábrica.
- Activa la verificación en dos pasos en cualquier cuenta en la nube que conserves: la del fabricante de la cámara, tu cuenta de Apple o de Google, tu correo. Las contraseñas reutilizadas abrieron 55.000 cuentas de Ring.
- Desactiva UPnP y la redirección de puertos en el router salvo que sepas exactamente para qué los necesitas; lo dicen la CISA estadounidense y el NCSC. Para llegar a una cámara desde fuera, usa una VPN como Tailscale en vez de un puerto abierto.
- Piensa antes de usar una red de invitados. Una red de invitados o "IoT" aleja la cámara de tus ordenadores, pero muchas redes de invitados aíslan los dispositivos entre sí, y una app local en tu teléfono puede no ver la cámara. Pon los dos en la misma red o desactiva el aislamiento de clientes en esa.
- Prepara el teléfono viejo. Instala todas las actualizaciones que aún reciba, quita las cuentas que no necesite, pon un PIN o una huella y déjalo en un cargador lejos de la cuna. Si alguna vez sale de casa, bórralo antes.
Cuándo un vigilabebés en la nube es mejor opción
- Quieres ver al bebé desde el trabajo sin montar una VPN. Esa comodidad es justo lo que compran los servidores del fabricante.
- No quieres tocar ningún ajuste del router. Un servicio en la nube bien llevado con verificación en dos pasos es una configuración defendible; implica confiar en la empresa además de en tu propia casa.
- Mamoon también tiene límites que no tienen que ver con la seguridad: una cámara por teléfono de los padres, sin hablar con el bebé, sin nanas, y ya está en Google Play, pronto en el App Store.
Preguntas frecuentes
¿Se puede hackear un vigilabebés Wi-Fi?
Se puede, y las vías documentadas son corrientes: una contraseña reutilizada en la cuenta del fabricante, un fallo en los servidores del fabricante o una cámara alcanzable desde internet con la contraseña de fábrica. Contraseñas únicas, verificación en dos pasos, actualizaciones y ningún puerto abierto cubren casi todos los casos reales.
¿Se puede hackear un vigilabebés sin Wi-Fi?
Es mucho más difícil. Un vigilabebés por radio no tiene cuenta ni nada en internet, así que quien espía debe estar al alcance y conocer la frecuencia. Los analógicos antiguos podían ser oídos por los vecinos; los digitales FHSS y DECT se emparejan y saltan de frecuencia, y no hemos encontrado ningún caso documentado de uno interceptado.
¿Son seguros los vigilabebés Wi-Fi?
Pueden serlo. Los hackeos documentados vinieron de contraseñas reutilizadas en cuentas en la nube, errores en los servidores de los fabricantes y cámaras abiertas a internet con contraseñas de fábrica. Usa una contraseña única y verificación en dos pasos, mantén el firmware al día, cierra los puertos abiertos o elige un vigilabebés que no necesite cuenta.
¿Hackearon el vigilabebés de Nest?
Los sistemas de Nest no sufrieron una brecha. En enero de 2019, familias de California e Illinois oyeron a desconocidos por cámaras Nest después de que se probaran en sus cuentas contraseñas reutilizadas de otros sitios filtrados. Google impulsó entonces la verificación en dos pasos y en 2020 empezó a exigir un código por correo en las cuentas Nest.
¿Manda Mamoon algo a un servidor?
Ninguna cuenta, ninguna nube, ninguna grabación. La imagen y el sonido van por tu Wi-Fi de casa de la cámara a tu teléfono, y la detección de llanto se ejecuta en el teléfono. Cómo trata los datos esta web está en la política de privacidad.
¿Una cámara Tapo sigue hablando con TP-Link si la veo en Mamoon?
Sí, salvo que lo bloquees. TP-Link indica que la primera configuración, la visualización remota, el uso compartido y la sincronización de la hora usan su nube, y que la visualización en directo funciona en local una vez configurada la cámara. Mamoon lee el vídeo directamente de la cámara por tu Wi-Fi; la conexión a la nube de la propia cámara es aparte, y depende de ti permitirla o bloquearla en el router.
¿Es seguro Tailscale para ver al bebé desde fuera?
Tailscale es una VPN WireGuard. Su documentación dice que el tráfico va cifrado de extremo a extremo entre tus dispositivos y que sus relevos no pueden descifrarlo porque las claves nunca salen de tus teléfonos. Tu acceso a Tailscale es una cuenta, eso sí, así que protégela con verificación en dos pasos.
Fuentes
- Nota de prensa de la FTC, 31 de mayo de 2023: Ring, 55.000 cuentas hackeadas, MFA solo desde 2019, acceso de empleados al vídeo (en inglés; la web de la FTC bloquea las consultas automáticas, comprobada el 13 de octubre de 2026)
- NBC Chicago, 30 de enero de 2019: familia de Lake Barrington, cámara y termostato Nest; Google: "contraseñas comprometidas", CBS Sacramento, 23 de enero de 2019: familia de Orinda, falso aviso de misiles, The Register, 6 de febrero de 2019: el correo de Nest a sus clientes y Google, 11 de febrero de 2020: verificación en dos pasos obligatoria en las cuentas Nest (en inglés; consultadas el 13 de octubre de 2026)
- BleepingComputer, 29 de diciembre de 2019: base de datos de Wyze expuesta del 4 al 26 de diciembre, 2,4 millones de usuarios, sin contraseñas (en inglés; comprobada el 13 de octubre de 2026)
- Bitdefender Labs, 29 de marzo de 2022: vulnerabilidades de Wyze Cam, v1 descatalogada sin corrección y The Record: cronología de la divulgación desde marzo de 2019 (en inglés)
- Consumer Reports, marzo de 2009: los vigilabebés analógicos pueden oírse, elige digital, National Cybersecurity Alliance: vigilabebés FHSS y ESET WeLiveSecurity, 7 de noviembre de 2022: vigilabebés de radio frente a Wi-Fi (en inglés)
- Engadget: incidente de Wyze del 16 de febrero de 2024, 13.000 usuarios, 1.504 toques, librería de caché y CBS News con el comunicado de Wyze (en inglés)
- Foro de Wyze: aviso del servicio Web View, 8 de septiembre de 2023 (2.300 usuarios, 10 afectados, ajuste de caché) (en inglés)
- TidBITS, 2 de diciembre de 2022: cámaras eufy subiendo miniaturas a la nube y gHacks, 1 de febrero de 2023: Anker admite que las emisiones no iban cifradas de extremo a extremo (en inglés)
- Bitdefender Labs, 26 de febrero de 2020: vulnerabilidades de iBaby M6S, corregidas en marzo de 2020 (en inglés)
- Alerta de la CISA, 14 de octubre de 2016: Mirai, 62 accesos por defecto, 380.000 dispositivos; cambiar los valores por defecto, desactivar UPnP, actualizar (en inglés)
- INCIBE (Instituto Nacional de Ciberseguridad): Conexiones seguras, configuración del router de casa (cambiar nombre y contraseña del Wi-Fi, firmware, WPA3 o WPA2, desactivar la administración remota) y Dispositivos IoT (actualizar el firmware, cambiar las contraseñas predeterminadas, revisar los permisos de cámara y micrófono), consultadas el 14 de octubre de 2026
- FTC: How to secure your home Wi-Fi network (WPA2/WPA3, dos contraseñas, UPnP, red de invitados), en inglés (la web de la FTC bloquea las consultas automáticas, comprobada el 13 de octubre de 2026)
- NCSC (Reino Unido): Smart security cameras and baby monitors, using them safely (contraseña por defecto, actualizaciones automáticas, UPnP y redirección de puertos) y NCSC: Smart devices in the home (verificación en dos pasos), en inglés
- Gobierno del Reino Unido: régimen PSTI de seguridad de productos, en vigor desde el 29 de abril de 2024 (sin contraseñas por defecto universales, periodo de actualizaciones publicado), en inglés
- Comunidad TP-Link (respuesta de un moderador): qué hacen las cámaras Tapo con y sin internet (en inglés) y TP-Link: Cómo ver la cámara Tapo en un ordenador, un NAS o un NVR mediante RTSP/ONVIF
- Tailscale: cifrado (WireGuard, de extremo a extremo) y Tailscale: los relevos DERP no pueden descifrar el tráfico (en inglés)
- Dormi: emisión cifrada, sin anuncios, sin rastreo (en inglés)
- Cloud Baby Monitor: Wi-Fi de casa por defecto, sin internet, Alcance Ilimitado por internet (en inglés)
- Baby Monitor 3G en el App Store de España: Wi-Fi o datos móviles, conexión cifrada, sin cuenta obligatoria
- Preguntas frecuentes de Bibino: la comunicación pasa por sus servidores, grabaciones Premium guardadas 21 días (en inglés)
- Apple: Qué debes hacer antes de vender, regalar o renovar tu iPhone o iPad y Google: Configurar el bloqueo de pantalla en dispositivos Android, consultadas el 14 de octubre de 2026
¿Has visto un error o un dato desactualizado? Escribe a [email protected].