En la actualidad es muy común que muchas personas pongan webcams en sus casas para vigilarlas mientras están fuera, esto es posible en parte a dos factores, el primero es el increíble abaratamiento del acceso a Internet desde casa con suficiente velocidad para mantener el streaming de video y el segundo es el bajo costo de las webcams, que pueden ser adquiridas con tan poco como $15.

En principio usar una webcam para controlar lo que pasa en la oficina o casa cuando no estamos puede parecer una buena idea para aquellos que son fanáticos del control total, algo que no existe, pero que muchos desean. El problema es que muchos de estos aspirantes a dictadores, son lo suficientemente listos para saber que producto comprar y como configurarlo, o al menos tienen el suficiente dinero para pagarle a alguien que sea lo suficientemente listo para hacerlo; sin embargo son lo suficientemente tontos para olvidar ponerle password a la cámara, con lo cual cualquiera que conozca el URL de la misma podría tener acceso a ver el contenido transmitido por la webcam. Es en este escenario donde entra en juego Google, el gran indexador de la web.

La verdad es que el método descrito aquí no permite hackear una webcam en si misma, sino que nos permite usar Google para encontrar todas aquellas webcams (miles al parecer) que están desprotegidas y sólo confían en que nadie accederá a ellas porque se esconden en puertos no estándares o crípticas direcciones URL. El problema es que Google sistemáticamente explora toda la web e indexa todas las direcciones que encuentra, entonces lo único que es necesario saber para encontrar estas webcams vulnerables es qué secuencia de caracteres buscar. En este URL encontré una primera pista, pero luego de averiguar un poco más encontré que se pueden ubicar estas cámaras desprotegidas usando estos criterios de búsqueda en Google:

inurl:"axis-cgi/mjpg"
inurl:"ViewerFrame?Mode="
inurl:"view/index.shtml"
inurl:"MultiCameraFrame?Mode="

Quiero resaltar que esto lo hago público con fines de divulgación, que no promuevo el hacking en ninguna forma y que sólo deseo despertar el interés público por la seguridad en la web, ya que es en nuestros días es una parte muy importante de nuestras vidas, recordemos que lo que pongamos en la web queda para siempre y el olvido ya no existe en el siglo XXI, algo que comenté en un post anterior de este blog llamado "El fin del olvido".