¿Cómo muestra IP Crawl casi 14.000 webcams abiertas en todo el mundo?

IP Crawl es un catálogo mundial de cámaras web expuestas en internet que permite contemplar imágenes de oficinas, comercios, almacenes, portales, calles, puertos deportivos y otros espacios. Algunas ofrecen vídeo en directo; otras, la última captura disponible. No es necesario vulnerar una contraseña: las cámaras ya estaban accesibles públicamente, por error, abandono o una configuración tan confiada que la cerradura digital ha quedado en mero adorno.

A 28 de junio de 2026, el proyecto rozaba los casi 14.000 dispositivos catalogados, con más de 2.600 respondiendo en vivo y presencia en 119 países. El dato impresiona, pero las imágenes lo hacen todavía más. Una puerta de almacén entreabierta, empleados moviéndose por una tienda, coches entrando en un garaje, una recepción vacía bajo una luz blanca y triste. Escenas rutinarias convertidas, sin que sus protagonistas probablemente lo sepan, en escaparates globales.

La web no se presenta como una herramienta para espiar, sino como una demostración del calamitoso estado de la seguridad en parte del llamado internet de las cosas, ese universo de cámaras, routers, alarmas y aparatos conectados que prometió hogares inteligentes y, de paso, multiplicó las ventanas mal cerradas. IP Crawl hace visible el agujero. Y también plantea una cuestión incómoda: que una imagen sea técnicamente pública no significa que las personas que aparecen en ella hayan decidido exhibirse.

IP Crawl convierte una fuga invisible en un mapa mundial

El proyecto fue creado por Alec Armbruster como un atlas en constante actualización de cámaras abiertas. Su sistema consulta fuentes públicas de inteligencia de internet, localiza dispositivos que anuncian o sirven imágenes y conserva algunos datos básicos: una ubicación aproximada, la organización o proveedor de red asociado y una captura almacenada.

Cuando alguien abre una cámara desde IP Crawl, un servidor intermediario intenta recuperar una imagen reciente. Si el dispositivo ya no responde, aparece la última captura guardada. El resultado tiene algo de televisión experimental y algo de inventario de averías: una sucesión de lugares inconexos unidos por el mismo defecto, la exposición pública de imágenes que deberían haber quedado restringidas.

La plataforma permite filtrar por país, ciudad, proveedor de red o fabricante. También distingue entre capturas estáticas y señales que continúan activas. No revela la dirección IP original y muestra ubicaciones calculadas mediante geolocalización de red, una técnica que suele acertar la ciudad o la región, pero no proporciona una dirección postal exacta.

No rompe contraseñas: encuentra puertas ya abiertas

Esta diferencia importa. IP Crawl afirma que no elude sistemas de autenticación, no aprovecha vulnerabilidades para entrar ni accede a dispositivos que permanezcan protegidos. Recopila señales que ya están disponibles desde la red pública. Dicho de otro modo: no fuerza una puerta; señala aquellas que alguien dejó abiertas de par en par.

Eso no elimina el debate ético. Reunir miles de cámaras en una sola página reduce drásticamente el esfuerzo necesario para encontrarlas. Una exposición dispersa, casi invisible entre millones de direcciones de internet, se convierte en un escaparate ordenado, con buscador y mapa. La información ya existía, sí, pero hacerla fácilmente navegable cambia su alcance práctico.

El proyecto trata de contener algunos riesgos. Su sistema automático intenta ocultar desnudos, material de abuso sexual infantil, contenidos que no proceden realmente de cámaras y dispositivos que puedan ser señuelos o honeypots, trampas preparadas para detectar curiosos o atacantes. Son precauciones relevantes, aunque ningún filtro automatizado convierte una colección semejante en territorio limpio.

Casi 14.000 cámaras y una geografía del descuido

Las estadísticas publicadas por IP Crawl situaban a Estados Unidos, Japón y México como los países con más dispositivos en el catálogo. Estados Unidos superaba los 2.700; Japón, los 2.200; y México rondaba los 1.700. Después aparecían Taiwán, Austria, Alemania, China e Italia.

Entre las marcas o tecnologías identificadas destacaba Hikvision, seguida por servidores Apache y cámaras D-Link. La clasificación no siempre equivale al fabricante real del aparato: en ocasiones detecta el servidor web que responde desde el dispositivo. Aun así, ofrece una radiografía bastante expresiva del ecosistema. Cámaras de consumo, equipos profesionales, programas antiguos y pequeños servidores conviven en la misma estantería digital.

El puerto 554, utilizado habitualmente para transmisiones de vídeo mediante el protocolo RTSP, encabezaba la lista de accesos detectados. Le seguían los puertos 80, 81, 443 y 8080, asociados con frecuencia a interfaces web. Para el usuario corriente son números opacos. Para un buscador de dispositivos conectados funcionan como puertas numeradas en un pasillo inmenso.

Una exposición puede ser deliberada, accidental o heredada

No todas las webcams abiertas suponen necesariamente una brecha. Algunas cámaras de tráfico, playas, estaciones meteorológicas, obras o paisajes se emiten públicamente de forma intencionada. El problema aparece cuando una señal revela espacios privados, rutinas de trabajadores, accesos a edificios, matrículas, mercancías o movimientos internos que nadie pretendía difundir.

También hay instalaciones olvidadas. Una empresa cambia de proveedor, un técnico abandona el mantenimiento, el fabricante deja de publicar actualizaciones y la cámara continúa encendida durante años, como una bombilla en un trastero al que nadie baja. El aparato todavía cumple su función visible, grabar, pero su seguridad ha caducado.

Otras exposiciones nacen de configuraciones predeterminadas, contraseñas débiles, acceso anónimo activado, reenvío de puertos en el router o servicios remotos innecesarios. El usuario enchufa el dispositivo, instala una aplicación y da por terminado el trabajo. La cámara funciona. Precisamente ahí comienza el problema.

El riesgo va mucho más allá de que alguien mire

La consecuencia inmediata es la pérdida de privacidad. Una cámara orientada hacia una entrada permite conocer horarios, entregas, ausencias y hábitos. Una instalada en una oficina puede mostrar documentos, pantallas, reuniones o pizarras. En un comercio revela empleados, clientes y movimientos de caja. En una vivienda, la intrusión resulta todavía más áspera: salones, dormitorios, menores, momentos que jamás debieron salir de esas paredes.

La imagen puede servir también para preparar robos, extorsionar a una persona o estudiar físicamente un edificio. No hace falta una escena espectacular. A veces basta con observar durante varios días cuándo se levanta una persiana o a qué hora deja de circular gente por un pasillo. La vigilancia involuntaria suele empezar con detalles pequeños.

Una cámara es también un pequeño ordenador

Detrás del objetivo hay procesador, sistema operativo, memoria, servicios de red y programas que pueden contener fallos. Si un atacante logra controlar el aparato, no solo obtiene vídeo. Puede utilizarlo como punto de entrada hacia otros equipos conectados a la misma red o incorporarlo a una red de dispositivos secuestrados, una botnet.

Mirai mostró en 2016 la dimensión de ese peligro al reclutar cámaras, grabadores y otros aparatos con credenciales débiles para lanzar ataques masivos de denegación de servicio. Años después, las mismas carencias siguen apareciendo: contraseñas predeterminadas, firmware abandonado y servicios expuestos sin una razón convincente. La tecnología cambia de carcasa; el descuido conserva una salud admirable.

En España, emitir imágenes no es un detalle técnico

La Agencia Española de Protección de Datos considera que una cámara que permite ver imágenes en tiempo real realiza un tratamiento de datos personales, aunque no guarde las grabaciones, siempre que aparezcan personas identificadas o identificables. Por tanto, el simple argumento de que no se almacena nada no borra las obligaciones del Reglamento General de Protección de Datos.

En comunidades de propietarios, empresas y establecimientos, el acceso remoto debe quedar limitado a personas autorizadas mediante credenciales u otro sistema que garantice su identificación. La Agencia recomienda cambiar las contraseñas y evitar combinaciones previsibles. Una cámara común para toda la escalera, visible desde cualquier navegador y sin control de acceso, no es una simpática modernidad vecinal.

La difusión abierta por internet añade otro problema. Si una cámara fue instalada con finalidad de seguridad, convertir su señal en una emisión pública puede exceder ese propósito. La vigilancia no concede carta blanca para retransmitir personas, matrículas o actividades cotidianas a una audiencia ilimitada.

Europa ha comenzado a desplazar parte de la responsabilidad hacia los fabricantes. El Reglamento de Ciberresiliencia exige que los productos conectados incorporen seguridad desde el diseño, configuraciones seguras por defecto, controles de acceso y actualizaciones durante su vida útil. Su aplicación general llegará en diciembre de 2027, aunque algunas obligaciones comienzan antes. Hasta entonces —y después también— seguirá siendo necesario revisar qué se compra, cuánto tiempo recibirá soporte y qué ocurre cuando el fabricante abandona el producto.

Cómo cerrar una cámara que aparece abierta

IP Crawl indica que una cámara desaparece de su catálogo cuando deja de ser accesible públicamente y el sistema vuelve a comprobarla. No basta, por tanto, con solicitar que se retire una fotografía mientras la señal continúa expuesta: hay que cerrar el acceso desde internet.

El primer movimiento consiste en sustituir las credenciales predeterminadas por una contraseña única y robusta, activar la verificación en dos pasos cuando exista y actualizar tanto la cámara como el grabador y la aplicación asociada. Conviene desactivar el acceso remoto, el reenvío de puertos y los servicios de red que no se utilicen. Si se necesita conexión desde fuera, una red privada virtual ofrece una barrera más sensata que publicar directamente la interfaz del aparato.

También es prudente comprobar desde una conexión externa —por ejemplo, utilizando los datos móviles del teléfono— si la cámara responde sin iniciar sesión. La red doméstica puede engañar: que dentro de casa todo parezca protegido no garantiza que el dispositivo no esté ofreciendo otra entrada hacia el exterior.

En empresas y comunidades, la revisión debe abarcar quién conserva las claves, qué cuentas siguen activas, cuándo se instaló el último firmware y si el modelo continúa recibiendo soporte. Una cámara obsoleta y sin actualizaciones no rejuvenece por estar atornillada al techo. A veces, la medida más segura es retirarla.

La vigilancia mal protegida acaba vigilando a su dueño

IP Crawl no ha creado las miles de señales que muestra. Ha reunido un paisaje que ya estaba ahí, fragmentado en direcciones, puertos y aparatos olvidados. Su mérito y su incomodidad nacen del mismo gesto: colocar delante de nuestros ojos lo que preferíamos imaginar como un problema lejano.

Las webcams abiertas revelan una paradoja bastante doméstica. Instalamos cámaras para sentirnos protegidos y, al configurarlas mal, entregamos a desconocidos una vista privilegiada de aquello que pretendíamos vigilar. El guardián se convierte en mirilla ajena.

Casi 14.000 cámaras no representan todo el problema; son solo las que este proyecto ha encontrado y catalogado. La cifra cambiará. Algunas se cerrarán, otras aparecerán. Bajo ese contador late una evidencia menos volátil: conectar una cámara a internet no equivale a asegurarla. El cable da acceso. La seguridad exige bastante más.