Ciberseguridad en dispositivos IoT: protegiendo el Internet de las Cosas en la empresa

• Alex De los Llanos Dueñas
• Abril 2025

La primera vez que alguien en mi empresa conectó una cafetera inteligente a la red, lo tomé a broma. Fue en plan: “Qué bien, ahora el WiFi también hace café”. Nos reímos. Nadie pensó que semanas después tendríamos que hacer un análisis de red porque la dichosa cafetera estaba enviando datos a un servidor en otro continente.

No fue divertido.

Y ahí lo entendimos: en 2025, cualquier cosa que se conecte a internet es una posible amenaza. El Internet de las Cosas (IoT) llegó para quedarse. Y está en todos lados. Cámaras de seguridad, termostatos, sensores en almacenes, bombillas, relojes, impresoras, básculas, cerraduras… Lo que quieras.

Y no es que tengamos que tenerle miedo a cada dispositivo con chip. Lo que pasa es que los tratamos como si fueran inocentes. Como si una cámara fuera solo una cámara. Como si una báscula no pudiera comprometerte. Como si el router fuera solo un pasador de señal.

Pero no. Y si trabajas en una empresa, o diriges una, esto te importa más de lo que crees.

¿Sabes cuál fue el último incidente grave de ciberseguridad que analizamos en mi entorno? Una cerradura digital en la puerta trasera de una oficina. Sí, eso. Un simple aparato que controlaba el acceso al almacén. ¿Y sabes qué pasó? Que el software de control no estaba actualizado desde 2022. El fabricante quebró, nadie actualizó el firmware y, sin que nadie lo notara, el sistema estaba abierto como una sandía madura.

Los atacantes no forzaron la puerta. Solo entraron por la red que controlaba esa cerradura. Y desde ahí, navegaron hacia dentro. Sin prisa. Sin hacer ruido.

Es brutal, lo sé. Y te hace pensar: ¿cuántas cosas tenemos conectadas que no vigilamos? ¿Cuántas veces instalamos un dispositivo, lo dejamos funcionando y nunca más lo tocamos?

Porque eso es lo que pasa: el IoT no es un riesgo porque esté conectado. Es un riesgo porque lo dejamos solo, olvidado, sin atención ni protección.

¿Cuáles son los errores más comunes? Los de siempre. Los que se podrían evitar.

Yo no vengo aquí a hablarte de soluciones mágicas ni de discursos de marketing. Esto no va de tener “la plataforma definitiva de visibilidad total” ni de invertir miles de euros en lo último de lo último. Va de mirar al IoT como un área más de la empresa. Como algo que requiere cabeza, orden y cuidados.

Los errores más comunes que veo, los que se repiten en empresas grandes y pequeñas, son siempre los mismos:

• -Dispositivos con credenciales por defecto.
  “admin / 1234”. ¿Te suena? Pues a los atacantes también. Y te aseguro que lo prueban antes que tú.
  
  
• -Nadie sabe qué está conectado.
  No hay inventario. No hay lista. No hay nada. Solo dispositivos repartidos por ahí, instalados por técnicos que ya no están o por departamentos que hicieron lo que pudieron.
  
  
• -Están todos en la misma red.
  Una cámara, un servidor con datos de clientes y el proyector de la sala de reuniones… todos chupando del mismo WiFi. ¿Para qué segmentar, no?
  
  
• -No se actualizan. Nunca.
  Si un dispositivo no avisa, se queda como está. Y muchos no avisan. Algunos ni pueden actualizarse. Y eso debería hacernos saltar las alarmas.
  
  

Y el peor de todos:

• -“Nunca ha pasado nada.”
  Esa es la frase que más me eriza la piel. Porque los incidentes más graves que he visto no dieron señales hasta que ya era tarde.
  
  

¿Qué se puede hacer de verdad? Lo básico. Lo sensato. Lo que nadie quiere hacer porque parece aburrido.

Aquí no hay fórmulas mágicas. Pero sí hay una cosa clara: el IoT bien gestionado no da problemas. El problema no es la tecnología, es cómo la tratamos. Te dejo algunas cosas que aplicamos en mi entorno y que, sinceramente, nos han salvado más de una vez:

1. -Inventario. Pero de verdad.
   Un documento vivo. Que alguien lo mantenga. Que tenga los modelos, versiones, ubicaciones y responsables de cada “cosa” conectada. Sin eso, estás jugando al escondite con los atacantes.
2. -Contraseñas seguras.
   Sí, en la cafetera también. Y si el dispositivo no permite cambiar la contraseña, es una señal de que no merece estar en tu red.
3. -Segmentación de red.
   Red para dispositivos IoT, otra para usuarios, otra para sistemas críticos. Cuesta un poco al principio, pero una vez lo haces, duermes mejor.
4. -Actualizaciones programadas.
   Que haya una revisión cada cierto tiempo. Aunque no parezca urgente. Aunque el dispositivo “siga funcionando”. Las brechas más silenciosas no hacen ruido.
5. -Apagar lo que no se usa.
   Esto es una joya. Si tienes un dispositivo que no necesitas, desconéctalo. Menos superficie de ataque, menos preocupaciones.
6. -Formación interna.
   No solo al equipo de IT. También a mantenimiento, compras, operaciones. Todo el mundo tiene que entender que lo conectado también es responsabilidad.

El IoT es útil, pero también es frágil si lo tratamos como un juguete

No tengo nada contra los sensores inteligentes ni contra las cámaras 4K que graban desde el techo. Me encantan las bombillas que se apagan solas y los sistemas que ajustan el clima según el uso de la sala. Pero todo eso tiene que funcionar dentro de una estructura consciente.

Y no lo digo por miedo. Lo digo porque ya he visto el daño que puede hacer un solo dispositivo desatendido.

Esto no es una cruzada contra el progreso. Es una llamada a hacer bien las cosas. A entender que cada objeto que se conecta a internet pasa a formar parte del tejido de nuestra empresa. Y si ese objeto falla, el tejido se rompe.

Mucha gente me dice:
—“Ya tenemos demasiados dispositivos conectados, no hay marcha atrás.”
Y tienen razón. Pero eso no significa que no se pueda ordenar, priorizar, empezar a limpiar el desastre.

Haz una auditoría básica. Pregunta. Escanea tu red. Apóyate en alguien que sepa si hace falta. Pero no sigas posponiéndolo. Porque el día que se comprometa un dispositivo, te vas a preguntar por qué no hiciste esto antes.

Conclusión

Te soy sincero: esto no va de tener miedo. Va de tener control. Va de decir “vale, si vamos a conectar todo, hagámoslo bien”. Porque hoy, la diferencia entre una empresa sólida y una en riesgo puede estar en un sensor, una cámara o una cerradura que nadie pensó que podía ser vulnerable.

Y tú, ¿cuántas cosas conectadas tienes ahora mismo en tu red? ¿Quién las controla? ¿Las actualizaron este año? ¿El mes pasado? ¿Alguna vez?

Si no tienes respuestas… es momento de empezar a buscarlas.
Y si las tienes, genial. Pero sigue revisando. Porque en este juego, lo que hoy está protegido, mañana puede ser una puerta abierta.

Y a veces, el ataque no entra por el servidor… sino por la tostadora. Y recuerda que si te preocupa la ciberseguridad de tu empresa, puedes contactar con nosotros ya mismo, y te ayudaremos en todo lo que necesites.