Seguridad del monitor de bebé: ley de Nueva York y 8 reprobados

La seguridad del monitor de bebé ya es obligación legal en Nueva York. El 28 de octubre de 2026, la gobernadora Kathy Hochul firmó la ley S.9508/A.5175A, que prohíbe vender monitores nuevos conectados a internet si no traen funciones de seguridad que impidan que un extraño vea o escuche el cuarto del niño, además de una etiqueta de advertencia clara. Para justificarla, el estado citó pruebas de la empresa de ciberseguridad Rapid7: nueve monitores de ocho fabricantes, ocho con “F” (reprobados) y uno con “D”. Aquí va el detalle que casi nadie contó: esas notas coinciden con un estudio de Rapid7 publicado en septiembre de 2015. El dato es viejo. Las fallas que encontró, no. Y el monitor que ya tienes no se va a volver seguro solo porque cambió la ley.

Puntos clave

• La ley de Nueva York sobre monitores de bebé (S.9508/A.5175A) entra en vigor 90 días después de la firma del 28 de octubre de 2026, alrededor del 26 de enero de 2027. Aplica a monitores nuevos vendidos en ese estado, no a los que ya están en las casas.
• El dato de “8 reprobados y una D” coincide con el estudio de Rapid7 de 2015 sobre nueve monitores. Tiene más de diez años, y el comunicado del estado no lo fecha.
• Rapid7 encontró contraseñas fijas de fábrica, video sin cifrar y fallas en la nube, incluida una que exponía los clips grabados de todas las cámaras de un servicio.
• En 2013, la FTC llegó a un acuerdo con TRENDnet después de que hackers publicaran enlaces a casi 700 cámaras caseras, algunas mostrando bebés dormidos en su cuna.
• Una rutina de 10 minutos en casa (contraseña nueva, doble verificación, actualización, revisar con quién se comparte) cierra las puertas más comunes.

Qué exige la ley de Nueva York sobre monitores de bebé

La ley de Nueva York sobre monitores de bebé es una norma de protección al consumidor que fija un mínimo de seguridad para los monitores nuevos que envían audio o video por internet. Según el anuncio de la gobernadora, prohíbe vender monitores nuevos de este tipo si no incluyen funciones que impidan que extraños vean o escuchen el cuarto del niño. También deben llevar una etiqueta clara que diga que el aparato se conecta a internet y que la familia debe usar sus funciones de seguridad.

Fortune confirma el plazo de 90 días y cita a Hochul: ningún papá primerizo debería preocuparse de que hackers espíen a su familia a través del monitor. El senador estatal Andrew Gounardes lo dijo más directo: los monitores sirven para cuidar al recién nacido, no para dejar entrar “miradas curiosas” a la casa.

Tres límites que conviene saber. La ley cubre monitores nuevos vendidos en Nueva York; uno comprado en 2024 queda igual. Los resúmenes públicos no dicen qué funciones concretas cuentan como seguridad suficiente, así que los detalles dependerán de cómo se aplique. Y los monitores que solo usan un enlace de radio local entre la cámara y la unidad de los papás, sin internet, quedan fuera de lo que describe la ley.

De dónde sale lo de “8 de 9 monitores reprobados”

La prueba de Rapid7 que citó el estado coincide con un estudio del investigador Mark Stanislav publicado en septiembre de 2015. La cobertura de The Register en esa fecha describe nueve aparatos de ocho marcas con fallas como credenciales ocultas y fijas de fábrica, video sin cifrar y funciones web y de la app sin cifrar. Rapid7 reportó diez vulnerabilidades a los fabricantes y al US-CERT a principios de julio de 2015, y muchas seguían sin arreglarse dos meses después.

Tres fallas eran críticas. Una permitía encontrar una cámara expuesta y ver la transmisión en vivo. Otra daba acceso a todos los clips grabados de todas las cámaras registradas en un servicio. La tercera dejaba que alguien agregara su propio correo a todas las cámaras de un servicio y luego entrara a ver cualquiera.

Entonces, lee bien la cifra. Es una foto de 2015 sobre productos de 2015, y algunas de esas empresas corrigieron sus fallas o dejaron el mercado. Lo que sí sigue vigente es el patrón: el punto débil casi nunca era el lente ni la radio. Eran las contraseñas, el cifrado y la nube de la empresa.

Cómo hackean de verdad un monitor de bebé

Un monitor de bebé con Wi-Fi es una computadora pequeña conectada a la red, con cámara y micrófono. Rapid7 señaló que todos los aparatos que probó corrían un sistema operativo completo, o sea, se pueden atacar como cualquier computadora. Normalmente el video viaja de la cámara al router de tu casa, de ahí a los servidores del fabricante y luego a la app de tu celular. Cada salto es un lugar donde la seguridad puede fallar.

Contraseñas de fábrica o repetidas. Muchos aparatos vienen con usuario y contraseña de fábrica, y las listas de esas claves circulan en internet. Si nunca la cambiaste, cualquiera que llegue al aparato puede entrar. Las contraseñas repetidas causan el mismo problema en la cuenta: si la app del monitor usa la misma clave que una tienda en línea que fue hackeada, el atacante solo tiene que probarla. La guía de la FTC para proteger cámaras caseras advierte que las claves de fábrica y las reutilizadas son fáciles de encontrar en línea.

Video y accesos sin cifrar. Si el video o los datos de acceso viajan como texto legible, cualquiera en el camino de la red puede leerlos. En su caso de 2013 contra TRENDnet, la FTC alegó que la empresa enviaba las credenciales “en texto claro y legible por internet”.

Fallas en la nube de la empresa. Esta los papás no la pueden arreglar. Si los servidores del fabricante revisan mal los permisos, un atacante llega a cámaras ajenas sin tocar ninguna red casera. Dos de las tres fallas críticas de Rapid7 eran de este tipo.

Firmware viejo. El firmware es el software que va dentro del aparato. Los huecos se tapan con actualizaciones, y un monitor que nunca se actualiza conserva todos los huecos con los que salió de la fábrica.

Funciones de acceso remoto expuestas. Algunos aparatos tienen servicios de mantenimiento, como Telnet, que nunca deberían quedar abiertos a internet. Rapid7 los marcó como riesgosos según qué tan expuesta esté la red.

El costo real no es hipotético. Según el acuerdo de la FTC con TRENDnet en 2013, una falla de software dejó las transmisiones abiertas a cualquiera que tuviera la dirección de internet de la cámara, y hackers publicaron enlaces a casi 700 transmisiones en vivo que mostraban bebés dormidos en su cuna, niños jugando y adultos en su vida diaria. TRENDnet había anunciado sus cámaras incluso para vigilar bebés y las llamaba “seguras”.

Cómo enseñarle esto a tu hijo: seguridad de las cámaras conectadas

Los hermanos mayores muchas veces son el soporte técnico de la casa. Esta es una buena oportunidad para enseñarles cómo funciona una red con un aparato que les importa: el que cuida a su hermanito.

De 5 a 8 años

Dibujen el viaje de la imagen. En una hoja, dibujen cuatro cajas: la cámara del cuarto, el router (“la cajita del Wi-Fi”), una nube que diga “las computadoras de la empresa” y un celular. Unan con flechas. Explícale que la imagen del bebé viaja por esas flechas. Luego dale cuatro “candados” de papel para pegar: una clave secreta en el celular, un candado en el router, un candado de “mensaje revuelto” en las flechas y uno en la nube. Pregúntale cuáles controla la familia y cuál solo controla la empresa.

De 9 a 12 años

Inspector de contraseñas. Deja que tu hijo te ayude a cambiar la contraseña del monitor. Busquen juntos el modelo y revisen si el manual trae una clave de fábrica. Después armen una frase de cuatro palabras al azar y cuenten los caracteres. Muéstrale en la app la opción de verificación en dos pasos y deja que la active él. El niño que escogió el candado se acuerda de por qué importa.

De 13 en adelante

Auditoría de la red de la casa. Contigo al lado, que tu adolescente entre a la página de administración del router y haga la lista de todos los aparatos conectados. ¿Reconoce el monitor? Luego, que busque en la app la versión del firmware y la compare con la más reciente en la página de soporte del fabricante. Si el router tiene red de invitados, que decida qué aparatos van ahí. La FTC sugiere poner las cámaras en una red aparte para que una computadora hackeada no dé acceso fácil a ellas.

La pregunta que debes hacer: “Si un extraño quisiera ver nuestro monitor, ¿qué flecha o qué caja de nuestro mapa sería la más fácil de romper, y qué lo detendría?”

Puntos débiles del monitor de bebé y cómo cerrarlos

Punto débil	Cómo se aprovecha	Evidencia	Qué puedes hacer
Contraseña de fábrica o repetida	El atacante entra con una clave de fábrica o filtrada	Guía de la FTC; Rapid7 halló credenciales fijas (2015)	Frase única y verificación en dos pasos en la cuenta
Video o acceso sin cifrar	Los datos se leen en el camino	Denuncia de la FTC contra TRENDnet (2013); Rapid7 (2015)	Revisa en la caja o el manual si cifra y actívalo
Nube con fallas	Los servidores dan acceso a quien no deben	Fallas críticas de Rapid7, todos los clips de un servicio (2015)	Elige marcas con historial público de actualizaciones; tú no lo puedes parchar
Firmware viejo	Los huecos conocidos siguen abiertos	Guía de la FTC	Actualizaciones automáticas en cámara y app
Cuentas compartidas olvidadas	La niñera de antes sigue teniendo acceso	Guía de la FTC sobre permisos	Revisa la lista de usuarios que pueden ver
Acceso remoto que no usas	Hay un camino por internet sin necesidad	Rapid7, acceso remoto expuesto (2015)	Apaga la vista remota o usa un monitor solo local

Tu arreglo de 10 minutos para la seguridad del monitor de bebé

Minutos 1 a 3: cambia la contraseña y activa la doble verificación

Cambia la clave de la cámara y la de la cuenta de la app por una que no uses en ningún otro lado. La FTC recomienda verificación en dos pasos para cualquier cuenta en la nube que guarde video. Actívala.

Minutos 4 a 6: actualiza todo

Abre la app del monitor, busca la sección de firmware o software del aparato e instala cualquier actualización. Luego pon la app del celular en actualización automática. La FTC también aconseja revisar la página del fabricante y suscribirte a sus avisos.

Minutos 7 y 8: revisa quién puede ver

Busca la lista de “usuarios compartidos” o “familia”. Quita a quien ya no necesite acceso: la niñera anterior, el celular viejo de los abuelos, un aparato que vendiste. Si la app tiene niveles de permiso, deja a los demás solo con permiso para ver.

Minutos 9 y 10: decide sobre la vista remota

Si solo usas el monitor dentro de la casa, considera apagar la vista remota por internet. Menos caminos de entrada, menos formas de entrar.

Lo que no conviene hacer

No tomes una etiqueta nueva como garantía. La ley de Nueva York pone un piso, y todavía no se sabe qué funciones lo cumplen. Tampoco tires el monitor por pánico: un aparato bien configurado y actualizado es mucho más seguro que uno nuevo sin configurar.

Hacia adelante, el programa voluntario U.S. Cyber Trust Mark de la FCC incluye los monitores de bebé entre los productos elegibles y planea un código QR con datos como el periodo de soporte del producto. Según su página, ioXt Alliance es el administrador principal desde el 13 de abril de 2026, y la FCC anunciará cuándo los productos podrán llevar la etiqueta. El Reino Unido fue más lejos en 2024: con su régimen de seguridad de productos PSTI, los aparatos conectables deben tener contraseñas únicas por producto o definidas por el usuario.

Si quieres seguir con el tema, lee nuestras guías sobre privacidad de los dispositivos de hogar inteligente y sobre cámaras de seguridad en casa y los límites con los niños.

¿Y en América Latina?

No encontré en México, Colombia, Argentina, Chile ni Perú una ley específica que exija seguridad mínima o etiquetas de advertencia en los monitores de bebé conectados. Las leyes de protección al consumidor y de datos personales de cada país pueden aplicar si un fabricante engaña sobre la seguridad de su producto, pero no fijan requisitos técnicos como los de Nueva York o el Reino Unido.

En la práctica, muchos monitores que se venden por Mercado Libre o en tiendas departamentales son los mismos modelos que se venden en Estados Unidos o Asia, a veces sin manual en español ni página de soporte local. Antes de comprar, revisa si la marca publica actualizaciones de firmware y si su app permite verificación en dos pasos. Y si el monitor ya está en el cuarto, el arreglo de 10 minutos de arriba funciona igual en Monterrey que en Medellín: no depende de ninguna ley.

Qué observar en los próximos 3 meses

• Semana 4: Abre otra vez la app. ¿Llegó una actualización de firmware? ¿Sigue activa la doble verificación? Revisa de nuevo la lista de usuarios compartidos.
• Señales de alerta en el mes 2: La cámara se mueve o la luz se prende sin que nadie la use, escuchas sonidos por la bocina que tú no activaste, te llegan alertas de inicio de sesión que no reconoces o la app muestra aparatos desconocidos. Cambia las contraseñas de inmediato y contacta al fabricante.
• Autoevaluación del mes 3: ¿Sabes si tu monitor todavía recibe actualizaciones? Si el fabricante ya no lo soporta, planea reemplazarlo.

Preguntas frecuentes

¿Los monitores de bebé sin Wi-Fi son más seguros?

Quitan el camino por internet, y con eso casi todos los ataques descritos aquí, incluidas las fallas en la nube. Un monitor solo local todavía puede ser escuchado por equipos cercanos si su radio no va cifrada, pero eso exige que alguien esté físicamente cerca. La desventaja: no puedes ver al bebé desde el trabajo.

¿La ley de Nueva York afecta el monitor que ya tengo?

No. La ley cubre monitores nuevos conectados a internet vendidos en Nueva York a partir de 90 días después de la firma del 28 de octubre de 2026. Los que ya están en las casas no se retiran ni tienen que cambiar. Lo que protege tu monitor actual es cómo lo configures.

¿Cómo sé si hackearon mi monitor de bebé?

Señales de alerta: la cámara gira sola, la luz se enciende sin motivo, se oyen voces o ruidos raros, llegan alertas de acceso que no hiciste o aparecen aparatos desconocidos en la app. Ninguna prueba un hackeo por sí sola, pero cualquiera es razón para cambiar contraseñas y actualizar de inmediato.

¿Sirve de algo el estudio de Rapid7 si es de 2015?

Como ranking de productos, no; esos modelos ya son viejos. Como lista de tipos de falla, sí. Las claves de fábrica, la falta de cifrado, los errores de permisos en la nube y el firmware sin actualizar siguen siendo las principales vías de ataque, y por eso la guía actual de la FTC apunta a lo mismo.

¿Conviene poner el monitor en otra red Wi-Fi?

Si tu router tiene red de invitados, es un paso razonable. La FTC sugiere separar las cámaras de las computadoras para que, si un aparato es hackeado, el atacante no tenga acceso fácil a los demás.

---

Sobre el autor

Ricky Flores es el fundador de HiWave Makers e ingeniero eléctrico con más de 15 años de experiencia desarrollando tecnología de consumo en Apple, Samsung y Texas Instruments. Escribe sobre cómo los niños aprenden a construir, pensar y crear en un mundo saturado de tecnología. Lee más en hiwavemakers.com.

---

Fuentes

1. Oficina de la Gobernadora de Nueva York. (2026). “Governor Hochul Signs Nation-Leading Legislation to Protect Kids from AI Chatbots and Ensure Baby Monitors Are Secure.” governor.ny.gov. https://www.governor.ny.gov/news/governor-hochul-signs-nation-leading-legislation-protect-kids-ai-chatbots-and-ensure-baby
2. Fortune. (2026, 28 de octubre). “‘As New York’s mom Governor, I’m taking action’: Kathy Hochul bans bots from cozying up to kids, cracks down on baby monitors.” Fortune. https://fortune.com/2026/10/28/new-york-state-kathy-hochul-bans-ai-chatbots-romantic-baby-monitors/
3. The Register. (2015, 3 de septiembre). “IoT baby monitors STILL revealing live streams of sleeping kids.” The Register (sobre la investigación de Mark Stanislav, Rapid7). https://www.theregister.co.uk/2015/09/03/baby_monitors_insecure_internet_things/
4. Federal Trade Commission. (2013, actualizado). “How To Secure Your Home Security Cameras.” FTC Consumer Advice. https://consumer.ftc.gov/articles/how-secure-your-home-security-cameras
5. Federal Trade Commission. (2013). “Marketer of Internet-Connected Home Security Video Cameras Settles FTC Charges It Failed to Protect Consumers’ Privacy.” FTC. https://www.ftc.gov/news-events/news/press-releases/2013/09/marketer-internet-connected-home-security-video-cameras-settles-ftc-charges-it-failed-protect
6. Federal Communications Commission. (2026). “U.S. Cyber Trust Mark.” FCC. https://www.fcc.gov/CyberTrustMark
7. UK Department for Science, Innovation and Technology. (2023, actualizado). “The UK Product Security and Telecommunications Infrastructure (Product Security) regime.” GOV.UK. https://www.gov.uk/government/publications/the-uk-product-security-and-telecommunications-infrastructure-product-security-regime