El 15 de junio de 2026, el Tribunal Federal de Canadá hizo pública una versión redactada de una sentencia que confirma algo sin precedentes: el Servicio Canadiense de Inteligencia de Seguridad (CSIS) utilizó, por primera vez de esta forma, una "orden de reducción de amenazas" para entrar en routers domésticos y dispositivos IoT de consumo —timbres Ring, cámaras de seguridad, smart TVs— y desconectarlos de dos botnets operadas por estados extranjeros. Es la primera vez que se documenta públicamente a una agencia de inteligencia occidental modificando directamente electrónica de consumo dentro de los hogares de sus propios ciudadanos.
La orden, concedida originalmente el 1 de mayo de 2024 por la jueza Catherine Kane y renovada en agosto de ese mismo año, se apoya en las llamadas "medidas de reducción de amenazas" del CSIS: una facultad legal que permite a la agencia actuar activamente contra una amenaza —alterarla, degradarla o destruirla— en lugar de limitarse a recopilar inteligencia sobre ella. Esa facultad, incorporada a la CSIS Act y reformulada bajo la National Security Act de 2017 (en vigor desde 2019), llevaba años en el marco legal canadiense sin que se conociera un uso de este tipo contra infraestructura de botnets. Las razones confidenciales de la sentencia se emitieron en febrero de 2026; la versión pública llegó cuatro meses después.
Qué ha cambiado
- Primer uso documentado contra botnets: es el primer caso público conocido de CSIS empleando sus poderes de reducción de amenazas contra infraestructura de botnet, en lugar de contra amenazas más tradicionales de espionaje o terrorismo.
- Alcance de la orden: cubría servidores de mando y control ubicados en Canadá, routers SOHO (small office/home office) y dispositivos IoT de consumo comprometidos y reclutados por dos botnets operadas por estados extranjeros.
- Dispositivos nombrados explícitamente: la sentencia identifica timbres inteligentes Ring, cámaras de seguridad domésticas, smart TVs y otros electrodomésticos con conexión Wi-Fi como parte de los dispositivos infectados y neutralizados.
- Facultades concretas autorizadas: el tribunal autorizó a CSIS a alterar, degradar y destruir el malware y los datos de la botnet presentes en los dispositivos infectados, y a cortar su conexión con la infraestructura de mando extranjera.
- Cronología de cuatro años hasta la transparencia: desde la concesión de la orden en mayo de 2024 hasta la publicación de la sentencia en junio de 2026 han pasado más de dos años, evidenciando lo prolongado del proceso judicial y de desclasificación en este tipo de operaciones.
Impacto para equipos de desarrollo y producto
Para quienes se autoalojan servicios, gestionan instalaciones domóticas con Home Assistant o son responsables de securizar flotas de dispositivos IoT en entornos profesionales, este caso deja varias lecciones incómodas. La primera: cualquier dispositivo conectado a internet con firmware desactualizado o credenciales por defecto puede formar parte de una botnet sin que su propietario lo sepa —ninguno de los canadienses afectados fue notificado antes de que su router o su cámara Ring participara en una operación de una potencia extranjera. La segunda, y quizá más relevante para quien administra infraestructura IoT: la limpieza de CSIS eliminó el malware activo, pero no corrigió la vulnerabilidad que permitió la infección en primer lugar. Muchos de los dispositivos afectados son antiguos, ejecutan firmware obsoleto o siguen usando contraseñas de fábrica. Investigadores de seguridad que han cubierto el caso señalan que basta con reiniciar o resetear de fábrica uno de estos dispositivos para deshacer la limpieza del CSIS y dejarlo de nuevo expuesto a la reinfección por los mismos actores. La responsabilidad última de parchear y actualizar el propio parque IoT sigue recayendo en el propietario o administrador del sistema, nunca en la agencia que intervino puntualmente.
Recomendaciones prácticas
- Cambiar todas las contraseñas por defecto en routers, cámaras, timbres inteligentes y cualquier dispositivo IoT tan pronto como se instalen, sin excepciones.
- Mantener el firmware del router y de todos los dispositivos IoT actualizado, activando actualizaciones automáticas cuando el fabricante lo permita.
- Segmentar los dispositivos IoT en una VLAN o red de invitados separada de los equipos principales, para limitar el movimiento lateral si alguno se ve comprometido.
- Monitorizar el tráfico saliente de la red doméstica o corporativa en busca de patrones inusuales que puedan indicar comunicación con servidores de mando y control.
- Sustituir routers, cámaras y otros dispositivos IoT que hayan alcanzado el fin de su ciclo de soporte y ya no reciban actualizaciones de seguridad, por muy funcionales que parezcan seguir siendo.
Qué vigilar a continuación
- Si otras democracias del grupo Five Eyes adoptan facultades similares de "reducción de amenazas" para intervenir directamente sobre infraestructura IoT comprometida.
- La reacción de los fabricantes de routers, cámaras y dispositivos IoT afectados ante la exposición pública de sus productos como vectores de infección persistentes.
- La evolución paralela de las guías de ciberseguridad IoT del NIST y si incorporan lecciones específicas derivadas de este caso.
- El debate sobre transparencia y supervisión judicial de este tipo de operaciones, dado el precedente de que una agencia de inteligencia modifique dispositivos privados sin consentimiento ni notificación previa.
- Si los canadienses cuyos dispositivos fueron intervenidos llegan a ser notificados individualmente en algún momento, y bajo qué marco legal se les informaría.
Conclusión: El caso del CSIS establece un precedente que otras agencias de inteligencia alineadas con Five Eyes observan de cerca: una agencia estatal puede, bajo orden judicial, entrar y modificar electrónica de consumo dentro de los hogares de sus ciudadanos como medida de ciberseguridad nacional. Tiene un valor operativo evidente para neutralizar amenazas activas, pero no resuelve el problema de fondo. Mientras los dispositivos IoT sigan saliendo de fábrica con contraseñas por defecto y dejen de recibir parches a los pocos años, seguirán siendo un objetivo fácil para cualquier actor, estatal o no, dispuesto a explotarlos. La limpieza de un tercero, por sofisticada que sea, nunca sustituye a la higiene básica de seguridad del propio dispositivo.
Fuentes y documentación
- The Hacker News — Canada's Spy Agency Used First-of-Its-Kind Warrant to Clean Botnet-Infected Devices
- CHAT News Today — Canada's spy service received judge's OK to target malware-infected devices
- Nanaimo News NOW — Canada's spy service received judge's OK to target malware-infected devices
- QPulse — Canada's CSIS Executes First-Ever Threat Reduction Warrant to Neutralize Foreign Botnets
- Shield53 Insights — Canada's CSIS Makes History With Unprecedented Botnet Neutralization Warrant