Dos investigadores argentinos descubrieron dos vulnerabilidades críticas en equipos inalámbricos de Ubiquiti utilizados para interconectar redes a varios kilómetros de distancia. Las fallas permitían tomar el control de los dispositivos sin conocer una contraseña, sin estar conectado a la red y sin tocar físicamente el equipo: alcanzaba con encontrarse dentro del alcance de la señal y enviarle un mensaje.

El trabajo fue presentado en el escenario principal de Black Hat USA 2026, una de las principales conferencias de ciberseguridad del mundo, por Gastón Aznarez, principal investigador de seguridad de la empresa argentina Faraday Security y Federico Kirschbaum, vicepresidente de investigación de la compañía.

Los equipos analizados pertenecen a la plataforma AirMax, una tecnología de la empresa estadounidense Ubiquiti utilizada para montar enlaces inalámbricos de larga distancia. Aunque habitualmente se los llama “antenas”, en realidad son sistemas de comunicación completos: combinan una antena direccional, una radio, componentes de red y un pequeño sistema operativo. Un combo que tiene todo lo necesario para llamar la atención de un hacker.

Estas antenas suelen utilizarse para llevar internet a lugares donde desplegar fibra óptica o cable resulta demasiado costoso o directamente inviable, como ocurre en zonas rurales o serranas de la Argentina. Pequeños proveedores las instalan en techos, torres o puntos elevados para crear enlaces inalámbricos de varios kilómetros: una antena envía la conexión desde un punto que ya tiene acceso a internet y otra la recibe en una vivienda, un campo o una localidad alejada.

“En la zona donde vivo [Córdoba] no hay fibra óptica, por lo que existen varios proveedores de Internet inalámbrico. Como resultado, una gran cantidad de casas tienen una de estas antenas instalada en el techo, probablemente sin que sus habitantes sepan exactamente qué es o cómo funciona”, explicó Aznarez en diálogo con Clarín.

A diferencia de Starlink, que conecta cada terminal directamente con una red de satélites, estos equipos establecen enlaces terrestres entre antenas que deben tener una línea de visión relativamente despejada.

Las vulnerabilidades afectaban siete familias de productos, entre ellas airMAX AC, airMAX M, airFiber y GigaBeam. En total, abarcan más de 50 modelos que todavía se comercializan.

Según los investigadores, los errores habrían estado presentes desde las primeras generaciones de la tecnología AirMax. Ubiquiti fue notificada por Faraday en diciembre de 2025 y publicó el primer parche en menos de diez días. Los equipos que instalaron las actualizaciones correspondientes ya se encuentran protegidos contra los ataques demostrados durante la investigación.

Qué son los enlaces inalámbricos de larga distancia

Ubiquiti PowerBeam, uno de los modelos afectados. Foto: Ubiquiti

Para entender el alcance del descubrimiento primero hay que comprender qué hacen estos equipos. En una casa conectada mediante fibra óptica, los datos viajan por un cable que llega hasta el domicilio. En muchas regiones rurales, barrios periféricos o lugares donde desplegar fibra es demasiado caro, esa conexión puede realizarse mediante ondas de radio.

Un proveedor instala una antena en un punto elevado y coloca otra en el techo de la casa del cliente. Ambas deben apuntarse entre sí, como si fueran dos reflectores enfrentados. La señal transporta los datos por el aire y permite ofrecer acceso a Internet sin tender un cable entre los dos puntos. Este tipo de compañías se conoce como WISP, por la sigla en inglés de proveedor inalámbrico de servicios de Internet.

La tecnología también puede utilizarse para conectar edificios de una misma empresa, sucursales, depósitos o sistemas de cámaras de vigilancia. Una organización puede, por ejemplo, colocar cámaras en un predio alejado y transmitir las imágenes hasta una sala de control sin instalar kilómetros de cableado.

La investigación presentada no implica, vale aclarar, que todos los que tengan uno de estos dispositivos hayan sido atacados ni que sus redes estén actualmente comprometidas. El descubrimiento demuestra que los equipos sin actualizar podían recibir una instrucción maliciosa a través de la señal inalámbrica y entregar el control de su sistema operativo.

Un ataque sin contraseña y desde kilómetros de distancia

Las contraseñas por defecto son un problema en la industria: pocos las cambian. Foto: Shutterstock

La presentación fue titulada Root From Kilometers Away, algo así como “obtener control total desde kilómetros de distancia”. En los sistemas basados en Linux, “root” es la cuenta con el máximo nivel de privilegios, y puede compararse con un “modo Dios” de una computadora: tiene permiso para modificar la configuración, instalar programas, detener procesos y controlar prácticamente todas las funciones del equipo.

“En términos prácticos, un atacante podía tomar control total del dispositivo sin conocer la contraseña, sin estar conectado a la red y sin tener acceso físico. Solo necesitaba estar dentro del alcance de la señal y enviar una trama inalámbrica especialmente diseñada”, explicó Dan Borgogno, investigador de seguridad de Faraday, que apoyó la investigación.

Una trama es, en términos simples, un pequeño paquete de información que se transmite por el aire. Los dispositivos reciben constantemente esta clase de mensajes para detectar otros equipos, establecer conexiones y organizar la comunicación.

Las vulnerabilidades aparecían cuando una antena recibía y procesaba una trama manipulada por el atacante. No era necesario ingresar a una página de administración, conocer el nombre de la red ni robar previamente las credenciales de un operador.

El ataque tampoco dependía de estar a pocos metros del objetivo. Estos dispositivos están diseñados precisamente para transmitir información a grandes distancias. Con el equipamiento adecuado y una línea de visión razonablemente despejada, una señal puede llegar desde kilómetros de distancia.

Un protocolo que parecía cifrado, pero no lo estaba

Gastón Aznarez (izquierda) y Federico Kirschbaum (derecha) durante la exposición en Black Hat USA 2026. Foto: Juan Brodersen

Para encontrar las vulnerabilidades, los investigadores tuvieron que estudiar un sistema sobre el que existía muy poca documentación pública. AirMax es una extensión desarrollada por Ubiquiti sobre el estándar Wi-Fi y su funcionamiento interno es propietario.

El equipo hizo ingeniería inversa, una técnica muy común entre hackers que consiste en desmontar lógica y técnicamente un sistema para comprender cómo funciona, aunque su fabricante no publique el código fuente ni una descripción completa de cómo opera. Tuvieron que reconstruir el lenguaje utilizado por los equipos para comunicarse y analizar la parte del software que procesa los datos recibidos directamente por radio.

Durante ese proceso, los investigadores estudiaron los mensajes que intercambiaban los dispositivos y descubrieron que algunos campos que parecían estar cifrados no lo estaban.

La investigación también destacó que algunas de las plataformas todavía utilizaban un núcleo de Linux con alrededor de 17 años de antigüedad. La edad de un componente no demuestra por sí sola que sea inseguro: muchos sistemas antiguos pueden mantenerse protegidos mediante correcciones y controles adicionales. Pero sí vuelve más difícil su mantenimiento y aumenta la importancia de someterlos a auditorías.

Cuál es el riesgo y qué hacer para mitigar un posible ataque

Una antena Ubiquiti NanoBeam, utilizada para conectar edificios o llevar internet a lugares alejados mediante enlaces terrestres. Foto: Ubiquiti

El principal riesgo actual se concentra en los dispositivos que no hayan instalado las actualizaciones publicadas por Ubiquiti. En muchos casos, estas antenas se configuran una vez y quedan funcionando durante años. Como están montadas en techos, torres o lugares de difícil acceso, pueden pasar inadvertidas mientras continúen prestando servicio.

Además, algunas redes mantienen los dispositivos separados de Internet como una medida de seguridad. Ese aislamiento reduce ciertos riesgos, pero también puede impedir que el equipo compruebe automáticamente si existe una nueva versión de su firmware, el software interno que controla su funcionamiento.

“Hay infraestructuras que llevan años funcionando sin inconvenientes. Es fácil que la actualización se postergue o directamente se olvide”, explicó Kirschbaum. Ubiquiti cuenta con una plataforma de administración centralizada que permite actualizar los equipos de manera remota. Sin embargo, el proceso depende de que cada proveedor, empresa o responsable de la red supervise sus dispositivos y aplique las nuevas versiones.

La principal medida de protección es actualizar: Ubiquiti corrigió las fallas en versiones nuevas de airOS para las distintas familias afectadas. Sin embargo, esa tarea no siempre depende del usuario de la vivienda. En muchos enlaces rurales, la antena es instalada y administrada por el proveedor de internet, que debe aplicar la actualización.

El cliente puede consultar quién gestiona el equipo y pedirle al proveedor que confirme que utiliza una versión corregida.

En América Latina, los enlaces inalámbricos tienen un papel relevante por la extensión territorial, las zonas rurales y la falta de fibra óptica en distintas regiones. Esto no significa que los equipos instalados en la región sean necesariamente más inseguros, sino que existe una gran cantidad de infraestructura que puede depender de tareas manuales de mantenimiento.

La exposición también dejó en evidencia la naturaleza de cualquier comunicación inalámbrica. Cuando un dispositivo transmite por radio, la señal puede ser recibida por otros equipos que se encuentren dentro de su alcance.

De hecho, el año pasado, un investigador mostró en DEF CON, la conferencia hacker más grande del mundo, cómo podía acceder a comunicaciones de radio de aviones y helicópteros sin tener que hackear nada, simplemente usando el equipo adecuado para escuchar las conversaciones. En la era de la inteligencia artificial, donde se puede clonar una voz en minutos, esto representa un riesgo grave.

La seguridad detrás de cajas negras

Black Hat USA es una conferencia de ciberseguridad de alto contenido técnico, donde investigadores presentan sus trabajos. Foto: Black Hat

El caso vuelve a poner el foco sobre los denominados sistemas embebidos: dispositivos que incluyen una computadora en su interior, pero que no se presentan ante el usuario como una PC tradicional. Routers, cámaras, televisores, autos, antenas y equipos industriales pertenecen a esta categoría.

Muchos permanecen encendidos durante años y cumplen funciones críticas, aunque reciben menos análisis público que sistemas operativos como Windows, Android o iOS. “Existe muy poca visibilidad sobre su funcionamiento interno. Esa falta de transparencia dificulta enormemente la investigación de seguridad”, señaló Kirschbaum.

“Este caso es un buen ejemplo: equipos que llevan más de 15 años en funcionamiento tienen una vulnerabilidad crítica que nadie había identificado. No necesariamente porque fuera imposible de encontrar, sino porque investigar protocolos propietarios, firmware cerrado y hardware poco documentado requiere mucho tiempo, conocimiento especializado y acceso a los dispositivos”, cerró el investigador.

Además de revelar las dos vulnerabilidades, el equipo desarrolló herramientas de código abierto para identificar y analizar redes que utilizan AirMax. El objetivo es que otros especialistas puedan continuar estudiando una infraestructura extendida, pero hasta ahora poco explorada.

La investigación fue un ejemplo más de un problema frecuente en la tecnología que opera fuera de la vista de los usuarios: equipos esenciales que permanecen durante años en funcionamiento, sostenidos por protocolos cerrados y con pocas auditorías independientes.

El sello argentino se sintió fuerte en uno de los escenarios principales de Black Hat, con una investigación de alto nivel técnico que aporta a la detección de fallas y a su corrección.

Lejos de la imagen hollywoodense de un hackeo remoto con resultados devastadores, la solución apareció como algo más terrenal: actualizar a la última versión del sistema es una protección efectiva que, curiosamente, pocos tienen en cuenta a la hora de manejar infraestructura crítica.