Meari Technologies: vulnerabilidad en miles de cámaras IoT

El hallazgo que expone un problema sistémico

Un investigador de seguridad descubrió vulnerabilidades críticas en cámaras fabricadas por Meari Technologies, permitiendo que cualquier persona accediera a transmisiones en tiempo real y datos de usuarios sin autorización. El fallo afecta a miles de dispositivos vendidos bajo múltiples marcas debido a una arquitectura insegura y falta de aislamiento en la cadena de suministro.

Para founders de hardware IoT, esto no es solo una noticia de seguridad: es una advertencia sobre los riesgos de depender de fabricantes OEM/ODM sin auditoría técnica profunda. El problema no es solo la cámara, sino todo el ecosistema: app móvil, cloud, SDK, actualizaciones OTA y proveedores de backend.

¿Qué vulnerabilidades se encontraron exactamente?

Las fallas identificadas en los dispositivos de Meari Technologies siguen patrones repetidos en el IoT de consumo durante 2025-2026:

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Credenciales por defecto o débiles que permiten acceso remoto sin autenticación robusta
Firmware desactualizado sin mecanismos de actualización automática o firma digital
APIs en la nube mal protegidas con tokens reutilizables y problemas de enumeración de dispositivos
Falta de cifrado en rutas de señalización y almacenamiento de vídeo/audio
Arquitectura sin aislamiento que permite movimiento lateral desde el dispositivo a otros sistemas

Lo crítico es que Meari opera como fabricante de marca blanca, lo que significa que el mismo hardware y firmware se vende bajo decenas de marcas diferentes. Cuando hay un fallo, se replica en todo el ecosistema, y la corrección depende del integrador o marca final, no siempre del fabricante original.

¿Es este un caso aislado o hay un patrón más amplio?

Lejos de ser aislado, este incidente refleja tendencias documentadas en 2025-2026. Según Vectra AI, las amenazas más críticas para IoT incluyen reclutamiento de botnets, compromiso de cadena de suministro y explotación de credenciales predeterminadas.

Datos concretos del periodo:

Más de 10 millones de dispositivos afectados por BadBox 2.0 (julio 2025), con malware preinstalado en televisores, proyectores y sistemas de infoentretenimiento antes de llegar al cliente
Más de 20 Tbps de capacidad DDoS en la botnet Aisuru/TurboMirai, alimentada por dispositivos IoT domésticos comprometidos
Aumento del 46% en ataques de ransomware contra sistemas OT en 2025, según Nozomi Networks, señalando el riesgo creciente en la frontera IoT/OT

El patrón es claro: dispositivos de consumo con seguridad débil se convierten en puertas de entrada para ataques masivos. Y los vigilabebés, por su naturaleza sensible, representan un riesgo especialmente crítico para la reputación de cualquier marca.

¿Qué significa esto para tu startup de hardware IoT?

Si estás construyendo o vendiendo dispositivos conectados, este caso ofrece lecciones accionables inmediatas. Las startups de hardware IoT sufren especialmente porque priorizan time-to-market sobre seguridad, dependen de ODM/OEM sin auditoría profunda y dejan la seguridad para «la siguiente iteración».

Riesgos concretos que enfrentas:

Responsabilidad reputacional: Un hackeo en cámaras o vigilabebés destruye confianza en días, no meses
Coste de soporte postventa: Bugs de firmware, resets, reemplazos y actualizaciones OTA elevan dramáticamente el coste por unidad
Exposición legal: En Europa, el fabricante debe responder por vulnerabilidades durante todo el ciclo de vida del dispositivo
Bloqueo regulatorio: Incumplir requisitos de seguridad puede impedir vender en la UE

5 acciones concretas que debes implementar hoy

Basado en las mejores prácticas de 2026 y los requisitos del EU Cyber Resilience Act:

Identifica tu OEM real y exige trazabilidad: No basta con el nombre comercial. Solicita FCC ID, marcado CE, importador, documentación de app, SDK y backend. Exige un SBOM (Software Bill of Materials) completo.
Audita el firmware y las actualizaciones OTA: Verifica que haya firma digital de firmware, frecuencia de parches documentada y política clara de soporte. Si no hay OTA, es una bandera roja inmediata.
Elimina credenciales por defecto: El dispositivo debe exigir cambio de contraseña en el primer arranque. Las credenciales codificadas son la vulnerabilidad #1 según INCIBE-CERT y Vectra AI.
Segmenta tu arquitectura de red: Nunca mezcles dispositivos IoT con portátiles o servidores críticos. Usa VLANs separadas y limita el movimiento lateral desde el dispositivo.
Revisa la app móvil y los endpoints cloud: Analiza permisos, tráfico de red, trackers y dominios de backend. Verifica certificados SSL, regiones de almacenamiento y políticas de retención de datos.

El marco regulatorio que no puedes ignorar

La Unión Europea está liderando la regulación de seguridad IoT con dos marcos críticos:

EU Cyber Resilience Act (CRA): Exige seguridad desde el diseño, gestión de vulnerabilidades, actualizaciones de seguridad durante el ciclo de vida y notificación de incidentes. Afecta a todos los productos con elementos digitales, incluidos vigilabebés y cámaras. Las marcas blancas no quedan exentas por cambiar el logo.

Directiva RED (Radio Equipment Directive): Según Casmar Global, los nuevos requisitos de ciberseguridad aplican a dispositivos con radiofrecuencia. Exige configuraciones seguras por defecto, gestión de vulnerabilidades y protección de datos.

En Latinoamérica, aunque no hay equivalencia uniforme al CRA, las empresas exportadoras se ven forzadas por canales de retail internacionales y requerimientos de plataformas cloud. Si planeas vender en Europa, diseña directamente con estándar UE desde el día uno.

Lecciones de founders que ya pasaron por esto

En la comunidad de Ecosistema Startup, hemos visto casos de founders hispanohablantes que enfrentaron crisis de seguridad en hardware IoT. Las lecciones recurrentes:

La seguridad no es un feature, es un requisito de arquitectura: Los founders que integran security-by-design desde el prototipo evitan costes 10x mayores en refactorización posterior
El proveedor OEM puede ser tu mayor riesgo: Due diligence técnico profundo antes de firmar, no después del primer incidente
La transparencia gana confianza: Las startups que comunican vulnerabilidades proactivamente y parchean rápido retienen mejor a sus usuarios que las que ocultan incidentes
LatAM tiene ventaja en agilidad: Los equipos hispanohablantes pueden iterar más rápido que competidores europeos, pero deben compensar con rigor en seguridad desde el inicio

Conclusión

El caso de Meari Technologies no es solo sobre vigilabebés vulnerables. Es sobre un ecosistema de IoT de consumo donde la cadena de suministro opaca, el firmware inseguro y las credenciales por defecto crean riesgos sistémicos. Para founders de hardware, la lección es clara: la seguridad no es negociable, y el coste de ignorarla es exponencialmente mayor que el de integrarla desde el diseño.

Si estás construyendo productos conectados, tu diferencial competitivo no será solo el feature set o el precio. Será la confianza que generas al demostrar que la seguridad de tus usuarios es prioritaria. En 2026, con el Cyber Resilience Act en vigor y consumidores más conscientes, eso es lo que separa a las startups que escalan de las que desaparecen tras el primer incidente.