Los ciberataques vinculados a actores de amenazas iraníes están adoptando una nueva y alarmante forma en el actual conflicto de Oriente Medio. Desde finales de febrero de 2026, se ha estado llevando a cabo una campaña coordinada para comprometer cámaras IP conectadas a internet en múltiples países de la región, lo que genera serias preocupaciones sobre cómo las operaciones cibernéticas se están utilizando activamente para apoyar acciones físicas

Los ciberataques vinculados a actores de amenazas iraníes están adoptando una nueva y alarmante forma en el actual conflicto de Oriente Medio.

Desde finales de febrero de 2026, se ha puesto en marcha una campaña coordinada para comprometer cámaras IP conectadas a internet en múltiples países de la región, lo que plantea serias preocupaciones sobre cómo se están utilizando activamente las operaciones cibernéticas para apoyar la actividad militar física.

La campaña se observó por primera vez el 28 de febrero de 2026, con un fuerte aumento en los intentos de explotación dirigidos a cámaras IP en Israel, los Emiratos Árabes Unidos, Catar, Baréin, Kuwait, Líbano y Chipre.

La actividad de ataque se originó desde infraestructuras vinculadas a actores de amenazas con nexos iraníes, utilizando nodos de salida de VPN comerciales —como Mullvad, ProtonVPN, Surfshark y NordVPN— junto con servidores privados virtuales para enmascarar sus verdaderos orígenes.

La escala y el momento de estos ataques no son aleatorios. También se registró actividad previa los días 14 y 15 de enero, coincidiendo precisamente con un período en el que Irán cerró su espacio aéreo por temor a un posible ataque militar estadounidense.

Los analistas de Check Point Research identificaron estos patrones de ataque mediante la monitorización continua de infraestructuras vinculadas a Irán y observaron que los picos en la explotación de cámaras coincidían sistemáticamente con grandes eventos geopolíticos.

La actividad del 24 de enero, por ejemplo, coincidió con la visita del comandante del Mando Central de EE.UU. a Israel para reuniones de alto nivel con el jefe del Estado Mayor de las Fuerzas de Defensa de Israel.

A principios de febrero, mientras el liderazgo iraní mostraba una creciente preocupación por un posible ataque estadounidense y los mensajes vinculados al CGRI advertían de que tal acción podría desencadenar una guerra regional más amplia, los intentos de explotación experimentaron otro claro y documentado aumento.

Los principales objetivos son dispositivos fabricados por dos de los mayores fabricantes de cámaras del mundo: Hikvision y Dahua. Ambas marcas se instalan habitualmente en áreas públicas, sitios de infraestructura crítica y edificios comerciales en toda la región.

Su amplia presencia las convierte en objetivos de alto valor para actores que buscan inteligencia visual en tiempo real. Cabe destacar que no se registraron intentos de explotación desde esta infraestructura dirigidos a cámaras de otros fabricantes.

Las implicaciones de esta campaña van mucho más allá del ciberespionaje típico. Durante el conflicto de 12 días entre Israel e Irán en junio de 2025, el compromiso de cámaras probablemente se utilizó para apoyar la evaluación de daños en batalla y la corrección de objetivos.

Un ejemplo particularmente escalofriante involucró el ataque con misiles de Irán al Instituto Weizmann de Ciencias de Israel: se informó que actores iraníes tomaron el control de una cámara orientada a la calle cerca del edificio justo antes de que impactara el misil. En conjunto, estos hallazgos indican que el compromiso de cámaras funciona como una herramienta operativa directa en la guerra cinética.

Explotación de vulnerabilidades conocidas en dispositivos ampliamente desplegados

El análisis de Check Point Research mapeó específicamente cinco vulnerabilidades conocidas que están siendo explotadas en dispositivos Hikvision y Dahua.

CVE-2017-7921 es una falla de autenticación incorrecta en el firmware de las cámaras Hikvision; CVE-2021-36260 es una vulnerabilidad de inyección de comandos en el componente del servidor web de Hikvision.

CVE-2023-6895 apunta a una falla de inyección de comandos del sistema operativo en el Sistema de Difusión de Intercomunicadores de Hikvision, mientras que CVE-2025-34067 —la más recientemente divulgada— es una vulnerabilidad de ejecución remota de código sin autenticación en la Plataforma de Gestión de Seguridad Integrada de Hikvision. CVE-2021-33044 completa la lista como un bypass de autenticación que afecta a múltiples productos de Dahua.

Existen parches disponibles por parte de los fabricantes para las cinco vulnerabilidades. A pesar de esto, muchos dispositivos siguen sin parchear y son directamente accesibles desde internet, creando puntos de entrada fáciles.

Las oleadas de explotación contra Israel y Catar fueron las más intensas, pero Baréin, Kuwait, los Emiratos Árabes Unidos, Chipre y Líbano también registraron actividad medible.

Vulnerabilidades objetivo en cámaras Hikvision y Dahua:

Las organizaciones que operan cámaras IP y sistemas de vigilancia en la región deben tomar medidas inmediatas para reducir su exposición.

Los sistemas de cámaras y dispositivos NVR deben retirarse del acceso directo a internet y colocarse detrás de una VPN o una puerta de enlace de acceso de confianza cero, eliminando así la superficie de ataque directa.

Las credenciales predeterminadas deben reemplazarse por contraseñas fuertes y únicas en todos los dispositivos. El firmware y el software de gestión deben actualizarse regularmente, y los dispositivos al final de su vida útil que ya no reciben parches de seguridad deben retirarse o reemplazarse.

Las cámaras deben colocarse en VLAN aisladas, con el tráfico de salida limitado solo a los puntos finales necesarios. Los equipos de seguridad deben monitorear activamente intentos repetidos de inicio de sesión fallidos, accesos remotos inesperados y conexiones salientes inusuales desde los sistemas de cámaras.