En las películas, hackear una casa es cosa de alguien con capucha delante de tres pantallas, que apaga las luces y abre la puerta con un par de teclas. La realidad es mucho más aburrida. Casi nadie ataca una casa en concreto: hay programas que recorren Internet sin parar buscando aparatos con la contraseña de fábrica o con una puerta abierta, y entran en el primero que encuentran. No buscan tu casa; buscan cualquier casa mal cerrada.

La buena noticia es que eso tiene una consecuencia práctica: una casa conectada bien montada es un objetivo muy poco atractivo, y bastante más difícil de atacar que muchas casas sin domótica que tienen una cámara wifi barata en la estantería. Esta guía cuenta por dónde se entra de verdad en una casa conectada y qué la protege, capa por capa: lo que hacemos nosotros al instalarla y lo que depende de ti.

Por dónde se entra de verdad

Las puertas reales son pocas, y casi siempre las mismas:

  • Contraseñas de fábrica. Muchas cámaras, routers y aparatos salen de la caja con un usuario y una contraseña que vienen en el manual, y por tanto están publicados en Internet. Si nadie los cambia, entrar no requiere ningún talento.
  • Aparatos abiertos a Internet. Para «verlo desde fuera», es habitual abrir un puerto del router hacia una cámara o un grabador. Ese puerto lo ve todo el mundo, no solo tú.
  • Cuentas en la nube. Si el aparato se controla con la cuenta del fabricante y esa contraseña es la misma que usas en otra web que ha sufrido una filtración, alguien puede entrar en tu casa sin tocar tu red.
  • Aparatos que ya no se actualizan. Los fallos de seguridad se descubren con el tiempo. Un aparato que el fabricante ha dejado de actualizar se queda con esos fallos para siempre.

Y hay un quinto riesgo que las multiplica: que todo esté en la misma red. Si alguien entra en una bombilla o en una tele, desde ahí puede intentar llegar al portátil o al móvil. Es lo mismo que señala el INCIBE en su guía para proteger el hogar inteligente, que recomienda cambiar las contraseñas por defecto, activar la verificación en dos pasos, mantener los aparatos actualizados y separarlos en su propia red.

Lo que protege, capa por capa

Ninguna medida sola lo resuelve. Lo que funciona es poner varias capas, de forma que si una falla, la siguiente todavía para el golpe. Así lo montamos.

Nada abierto a Internet

Para controlar la casa desde fuera no abrimos ningún puerto del router. El acceso remoto es una VPN: un túnel cifrado por el que tu móvil entra en tu propia casa, como si estuvieras en el sofá. Desde Internet no se ve ninguna puerta a la que llamar. No tiene cuota y es opcional: tú decides si lo quieres activo.

Los aparatos, en su propia red

Cuando el router lo permite, los aparatos domóticos van en una red aparte, separada de la de tus ordenadores y tus móviles. Si algún día uno de ellos tuviera un fallo, se quedaría encerrado en su red, sin camino hacia lo que de verdad importa.

Cámaras sin salida a Internet

Las cámaras y los aparatos que no necesitan Internet para funcionar no pueden salir a Internet: les cortamos la salida. Una cámara así no puede mandar nada a ningún sitio, aunque quisiera. Graba en casa y la ves desde fuera a través de la VPN; cómo se monta esa grabación en local lo contamos en la guía de cámaras de vigilancia para casa sin cuota.

Contraseñas y cuentas

Ningún aparato se queda con la contraseña de fábrica: cada uno tiene la suya, distinta de las demás, así que conocer una no abre las otras. En la cuenta de Home Assistant, el sistema que lo coordina todo, activamos el doble factor: además de la contraseña, hace falta un código del móvil. Y cada persona de la casa tiene su propio usuario, en lugar de uno compartido: si alguien pierde el móvil o deja de vivir en casa, se le quita el acceso a él y nadie más tiene que cambiar nada.

Actualizaciones

Todo lo anterior envejece si no se actualiza. Las actualizaciones y las copias de seguridad las hacemos nosotros si contratas el mantenimiento, que es un servicio aparte; si prefieres hacerlas tú, el servidor es tuyo y tienes acceso completo. Lo explicamos en la página de instalación de Home Assistant. Y elegimos dispositivos de fiabilidad contrastada, no lo más barato del catálogo, porque un aparato que su fabricante abandona al año no hay forma de mantenerlo seguro.

¿Y la cerradura?

Es la primera que viene a la cabeza, y merece su propia respuesta: lo que de verdad decide si una puerta es segura, y por qué el hackeo es el menor de sus problemas, lo contamos en ¿son seguras las cerraduras inteligentes?. Aquí basta un apunte: la cerradura vive en la misma red protegida que el resto, con las mismas capas.

Local o nube: también cuenta para la seguridad

Cada cuenta de un fabricante que tu casa necesita para funcionar es una puerta más, guardada por una empresa que no controlas. Por eso en nuestras instalaciones ninguna cuenta de terceros es imprescindible para que tu casa funcione: el sistema corre en un pequeño servidor que está en tu casa y es tuyo. Lo que sí sigue necesitando la nube es lo que no puede vivir de otra forma, como la voz de Alexa o de Google. Qué datos se quedan en casa y qué sigue funcionando sin conexión lo explicamos en domótica sin nube.

Lo que depende de ti

La mejor instalación se puede estropear con un par de costumbres. Las que más ayudan:

  • Bloquea el móvil con código o huella: es la llave de tu casa.
  • No compartas tu usuario con nadie. Si alguien necesita entrar, se le crea el suyo.
  • No des la contraseña del wifi principal a las visitas: para eso está la red de invitados, si tu router la tiene.
  • Avisa si pierdes un móvil o si alguien deja de vivir en casa, para quitarle el acceso.
  • Deja que se actualice: una actualización pendiente es un fallo conocido sin arreglar.

Quién lo diseña (y cómo lo presupuestamos)

Cada instalación la diseña Arnau Gris, ingeniero informático con máster en Ciberseguridad por la UPC. La seguridad no se añade al final: se decide al diseñar la red, al elegir los aparatos y al configurar cada cuenta.

Aquí no damos una cifra cerrada, porque depende de lo que ya tengas y de lo que quieras montar. Lo presupuestamos en la visita, sin compromiso, en pago único y sin cuotas. Con la misma garantía que el resto de lo que instalamos: garantizamos nuestra instalación y configuración durante 5 años; los equipos tienen la garantía de su fabricante (2–3 años) y la gestionamos nosotros por ti.

Dudas habituales

¿Me pueden ver por las cámaras?

Es el miedo más común, y con razón: una cámara con la contraseña de fábrica y abierta a Internet es justo lo que se busca. En nuestras instalaciones las cámaras no tienen salida a Internet y graban en casa. Tú las ves desde fuera entrando a tu propia casa por la VPN, no a través del servidor de un fabricante, así que no hay ninguna puerta abierta hacia ellas desde fuera.

¿La VPN es una cuota más?

No. El acceso remoto lo configuramos nosotros, es cifrado y no tiene suscripción. Y es opcional: si no quieres controlar la casa desde fuera, no se activa, y la casa sigue funcionando igual dentro.

¿Un enchufe barato de internet me pone en riesgo?

Puede. El problema no es el precio, sino que muchos aparatos baratos dejan de recibir actualizaciones al poco tiempo y dependen de la nube de una marca que no conoces. Por eso escogemos dispositivos de fiabilidad contrastada, no lo más barato del catálogo. Y aunque uno saliera mal, en una red aparte y sin salida a Internet tiene muy poco recorrido.

¿Qué pasa si me roban el móvil?

Como cada persona de la casa tiene su propio usuario, se le quita el acceso a ese usuario y el resto sigue igual: nadie tiene que cambiar su contraseña ni volver a configurar nada. Con el doble factor activado, además, la contraseña sola no basta para entrar.

¿Está más segura mi casa sin domótica?

No necesariamente. Muchas casas «sin domótica» tienen una cámara wifi con la contraseña de fábrica, un router sin actualizar y una tele conectada a todo. Lo que da seguridad no es tener más o menos aparatos, sino cómo están montados: qué se abre a Internet, en qué red están y quién puede entrar.

En resumen

Nadie va a por tu casa en concreto: se va a por la casa que se deja abierta. Contraseñas de fábrica, puertos abiertos, cuentas reutilizadas y aparatos sin actualizar son las puertas de verdad, y las cuatro se cierran al montar la instalación: nada abierto a Internet, los aparatos en su propia red, las cámaras sin salida, una contraseña por aparato con doble factor y un usuario por persona, y actualizaciones al día. Una casa conectada no es más fácil de atacar que una que no lo está; lo es una casa mal montada.