Los hogares ya tienen 24 aparatos conectados de media, según Bitdefender

Los hogares tienen ya una media de 24 dispositivos conectados, dos más que hace un año, según el informe anual sobre seguridad IoT que publican Bitdefender y NETGEAR. En muchas de esas casas el portátil del trabajo comparte red con una televisión, un enchufe inteligente o un NAS que lleva tiempo sin parches, y eso convierte un estudio pensado para el consumidor en un asunto para los departamentos de TI.

El 2026 IoT Security Landscape Report recoge la telemetría de unos 10,4 millones de routers domésticos protegidos con tecnología de Bitdefender entre enero y septiembre. Según el resumen de la compañía, se registraron 5.400 millones de eventos de seguridad y alrededor de 1.200 millones de observaciones de vulnerabilidades. Ninguna de las dos cifras equivale a equipos comprometidos. Un evento es una detección en el router y una observación, la coincidencia entre un aparato y un fallo conocido, de modo que un mismo dispositivo puede sumar varias.

Tres tipos de aparato concentran el problema. Las televisiones inteligentes (22,7 %), los enchufes (22,4 %) y los NAS (22 %) acumulan el 67,1 % de las observaciones, y el 99,97 % de los fallos detectados son CVE ya publicados, es decir, firmware antiguo sin actualizar. El informe lo atribuye al desfase entre la vida útil de estos equipos, que se cambian cada cinco o diez años, y los dos a cuatro años de soporte que suelen dar los fabricantes.

Casi todo el tráfico hostil es automático. Los escaneos de puertos sumaron 4.850 millones, el 90,1 % de la actividad de ataque detectada, y detrás llegaron 466,6 millones de intentos de fuerza bruta. De ellos, 455 millones iban contra el escritorio remoto de Windows (RDP), el 97,8 % de los intentos de adivinar contraseñas por protocolo. Y RDP no es un servicio de televisores ni de enchufes, sino de ordenadores.

Para las empresas la lectura es incómoda. El trabajo híbrido ha extendido el perímetro corporativo a miles de redes domésticas que nadie audita, y una tele o un NAS vulnerable puede servir de punto de apoyo dentro de la misma red local que el portátil de la empresa. INCIBE aconseja precisamente dejar los dispositivos IoT en una wifi aparte.

Chandan Nandakumaraiah, responsable de producto y ciberseguridad de NETGEAR, sostiene que «a medida que las empresas mejoran la protección de sus infraestructuras digitales, los ciberdelincuentes dirigen cada vez más sus ataques contra los dispositivos de los hogares conectados». El informe no aporta datos que lo demuestren, igual que no respalda la afirmación de Bitdefender de que la IA ha reducido de días a horas el tiempo necesario para atacar fallos nuevos. Hay, además, un interés comercial declarado: Bitdefender suministra la tecnología de NETGEAR Armor, el servicio de protección para routers de NETGEAR, y el propio documento lo reconoce.

Qué pueden hacer las empresas

Con la guía de teletrabajo de INCIBE para empresas en la mano, lo razonable es tratar la red de casa como no confiable. Eso pasa por dar acceso a los recursos internos solo por VPN o ZTNA, mantener activo el cortafuegos local del equipo corporativo y comprobar que ningún portátil de la empresa tiene RDP accesible desde fuera.

El resto depende del empleado. Conviene pedirle que revise el reenvío de puertos y UPnP de su router, que lleve televisiones, enchufes y cámaras a la red de invitados y que no guarde datos de la empresa en el NAS de casa, menos aún si su panel de administración está expuesto a internet. También toca actualizar el firmware del router y desconectar los aparatos que ya no reciben parches.

El router doméstico tampoco escapa a los reguladores. Estados Unidos ha dejado de autorizar nuevos routers de consumo y pequeña oficina fabricados fuera del país por motivos de seguridad nacional, y la dificultad de vigilar dispositivos que pasan años conectados sin supervisión se repite en fábricas y oficinas.