El 15 de juny de 2026, el Tribunal Federal del Canadà va fer pública una versió redactada d'una sentència que confirma un fet sense precedents: el Servei Canadenc d'Intel·ligència de Seguretat (CSIS) va utilitzar, per primer cop d'aquesta manera, una "ordre de reducció d'amenaces" per entrar en routers domèstics i dispositius IoT de consum —timbres Ring, càmeres de seguretat, smart TVs— i desconnectar-los de dues botnets operades per estats estrangers. És la primera vegada que es documenta públicament una agència d'intel·ligència occidental modificant directament electrònica de consum dins de les llars dels seus propis ciutadans.
L'ordre, concedida originalment l'1 de maig de 2024 per la jutgessa Catherine Kane i renovada l'agost del mateix any, es recolza en les anomenades "mesures de reducció d'amenaces" del CSIS: una facultat legal que permet a l'agència actuar activament contra una amenaça —alterar-la, degradar-la o destruir-la— en lloc de limitar-se a recopilar-hi intel·ligència. Aquesta facultat, incorporada a la CSIS Act i reformulada sota la National Security Act de 2017 (en vigor des de 2019), portava anys al marc legal canadenc sense que es conegués un ús d'aquest tipus contra infraestructura de botnets. Les raons confidencials de la sentència es van emetre el febrer de 2026; la versió pública va arribar quatre mesos després.
Què ha canviat
- Primer ús documentat contra botnets: és el primer cas públic conegut de CSIS emprant els seus poders de reducció d'amenaces contra infraestructura de botnet, en lloc de contra amenaces més tradicionals d'espionatge o terrorisme.
- Abast de l'ordre: cobria servidors de comandament i control ubicats al Canadà, routers SOHO (small office/home office) i dispositius IoT de consum compromesos i reclutats per dues botnets operades per estats estrangers.
- Dispositius identificats explícitament: la sentència identifica timbres intel·ligents Ring, càmeres de seguretat domèstiques, smart TVs i altres electrodomèstics amb connexió Wi-Fi com a part dels dispositius infectats i neutralitzats.
- Facultats concretes autoritzades: el tribunal va autoritzar CSIS a alterar, degradar i destruir el malware i les dades de la botnet presents als dispositius infectats, i a tallar la seva connexió amb la infraestructura de comandament estrangera.
- Cronologia de quatre anys fins a la transparència: des de la concessió de l'ordre el maig de 2024 fins a la publicació de la sentència el juny de 2026 han passat més de dos anys, evidenciant la llargada del procés judicial i de desclassificació en aquest tipus d'operacions.
Impacte per a equips de desenvolupament i producte
Per a qui s'autoallotja serveis, gestiona instal·lacions domòtiques amb Home Assistant o és responsable de securitzar flotes de dispositius IoT en entorns professionals, aquest cas deixa diverses lliçons incòmodes. La primera: qualsevol dispositiu connectat a internet amb firmware desactualitzat o credencials per defecte pot formar part d'una botnet sense que el seu propietari ho sàpiga —cap dels canadencs afectats va ser notificat abans que el seu router o la seva càmera Ring participés en una operació d'una potència estrangera. La segona, i potser més rellevant per a qui administra infraestructura IoT: la neteja de CSIS va eliminar el malware actiu, però no va corregir la vulnerabilitat que va permetre la infecció en primer lloc. Molts dels dispositius afectats són antics, executen firmware obsolet o continuen fent servir contrasenyes de fàbrica. Investigadors de seguretat que han cobert el cas assenyalen que n'hi ha prou de reiniciar o restaurar de fàbrica un d'aquests dispositius per desfer la neteja del CSIS i deixar-lo de nou exposat a la reinfecció pels mateixos actors. La responsabilitat última de pedaçar i actualitzar el propi parc IoT continua recaient en el propietari o administrador del sistema, mai en l'agència que va intervenir puntualment.
Recomanacions pràctiques
- Canviar totes les contrasenyes per defecte en routers, càmeres, timbres intel·ligents i qualsevol dispositiu IoT tan bon punt s'instal·lin, sense excepcions.
- Mantenir el firmware del router i de tots els dispositius IoT actualitzat, activant actualitzacions automàtiques quan el fabricant ho permeti.
- Segmentar els dispositius IoT en una VLAN o xarxa d'convidats separada dels equips principals, per limitar el moviment lateral si algun es veu compromès.
- Monitoritzar el trànsit sortint de la xarxa domèstica o corporativa a la recerca de patrons inusuals que puguin indicar comunicació amb servidors de comandament i control.
- Substituir routers, càmeres i altres dispositius IoT que hagin arribat a la fi del seu cicle de suport i ja no rebin actualitzacions de seguretat, per molt funcionals que semblin continuar sent.
Què vigilar a continuació
- Si altres democràcies del grup Five Eyes adopten facultats similars de "reducció d'amenaces" per intervenir directament sobre infraestructura IoT compromesa.
- La reacció dels fabricants de routers, càmeres i dispositius IoT afectats davant l'exposició pública dels seus productes com a vectors d'infecció persistents.
- L'evolució paral·lela de les guies de ciberseguretat IoT del NIST i si incorporen lliçons específiques derivades d'aquest cas.
- El debat sobre transparència i supervisió judicial d'aquest tipus d'operacions, atès el precedent que una agència d'intel·ligència modifiqui dispositius privats sense consentiment ni notificació prèvia.
- Si els canadencs els dispositius dels quals van ser intervinguts arriben a ser notificats individualment en algun moment, i sota quin marc legal se'ls informaria.
Conclusió: El cas del CSIS estableix un precedent que altres agències d'intel·ligència alineades amb Five Eyes observen de prop: una agència estatal pot, sota ordre judicial, entrar i modificar electrònica de consum dins de les llars dels seus ciutadans com a mesura de ciberseguretat nacional. Té un valor operatiu evident per neutralitzar amenaces actives, però no resol el problema de fons. Mentre els dispositius IoT continuïn sortint de fàbrica amb contrasenyes per defecte i deixin de rebre pedaços al cap de pocs anys, continuaran sent un objectiu fàcil per a qualsevol actor, estatal o no, disposat a explotar-los. La neteja d'un tercer, per sofisticada que sigui, mai no substitueix la higiene bàsica de seguretat del propi dispositiu.
Fonts i documentació
- The Hacker News — Canada's Spy Agency Used First-of-Its-Kind Warrant to Clean Botnet-Infected Devices
- CHAT News Today — Canada's spy service received judge's OK to target malware-infected devices
- Nanaimo News NOW — Canada's spy service received judge's OK to target malware-infected devices
- QPulse — Canada's CSIS Executes First-Ever Threat Reduction Warrant to Neutralize Foreign Botnets
- Shield53 Insights — Canada's CSIS Makes History With Unprecedented Botnet Neutralization Warrant