En todo Uzbekistán, una red de un centenar de cámaras de carretera de alta resolución escanea continuamente las matrículas de los vehículos y a sus ocupantes, a veces miles al día, en busca de posibles infracciones de tráfico. Coches que se saltan semáforos en rojo, conductores que no llevan puesto el cinturón de seguridad y vehículos sin matrícula circulando de noche, por nombrar solo algunos.

El conductor de uno de los vehículos más vigilados del sistema fue rastreado durante seis meses mientras viajaba entre la ciudad oriental de Chirchiq, pasando por la capital, Tashkent, y el cercano asentamiento de Eshonguzar, a menudo varias veces por semana.

Lo sabemos porque el extenso sistema de vigilancia de matrículas del país ha quedado expuesto a internet.

El investigador de seguridad Anurag Sen, quien descubrió la falla de seguridad, encontró que el sistema de vigilancia de matrículas estaba expuesto en línea sin contraseña, lo que permitía a cualquier persona acceder a los datos que contenía. No está claro cuánto tiempo lleva público el sistema de vigilancia, pero los artefactos del sistema muestran que su base de datos se configuró en septiembre de 2024 y que el monitoreo del tráfico comenzó a mediados de 2025.

Esta revelación ofrece una visión poco común de cómo funcionan estos sistemas nacionales de vigilancia de matrículas, los datos que recopilan y cómo pueden utilizarse para rastrear el paradero de cualquiera de los millones de personas que hay en todo un país.

Este fallo también revela los riesgos de seguridad y privacidad asociados con el monitoreo masivo de vehículos y sus propietarios, en un momento en que Estados Unidos está ampliando su red nacional de lectores de matrículas, muchos de los cuales son proporcionados por el gigante de la vigilancia Flock. A principios de esta semana, el medio de comunicación independiente 404 Media informó que Flock dejó expuestas en internet docenas de sus propias cámaras de lectura de matrículas, lo que permitió a un periodista observar cómo una cámara Flock lo rastreaba en tiempo real.

Sen afirmó haber encontrado el sistema de vigilancia de matrículas uzbeko expuesto a principios de este mes y compartió detalles del fallo de seguridad. Sen declaró que la base de datos del sistema revela la ubicación real de las cámaras y contiene millones de fotos y grabaciones de vídeo sin editar de vehículos en movimiento.

El sistema está gestionado por el Departamento de Seguridad Pública del Ministerio del Interior de Uzbekistán en Tashkent, que no respondió a los correos electrónicos solicitando comentarios sobre la falla de seguridad durante diciembre.

Representantes del gobierno uzbeko en Washington, D.C. y Nueva York tampoco respondieron a los correos electrónicos sobre la exposición. El equipo de preparación para emergencias informáticas de Uzbekistán, UZCERT, no respondió a una alerta sobre el sistema, salvo a una respuesta automática acusando recibo de nuestro correo electrónico.

El sistema de vigilancia permanece expuesto a la web al momento de redactar este informe.

El sistema se autodenomina «sistema de gestión de tráfico inteligente» de Maxvision, un fabricante con sede en Shenzhen, China, de tecnologías de tráfico conectadas a internet, sistemas de inspección fronteriza y productos de vigilancia. En un video en LinkedIn, la compañía afirma que sus cámaras pueden grabar «todo el proceso ilegal» y «mostrar información ilegal y de tránsito en tiempo real».

Según su folleto, Maxvision exporta su tecnología de seguridad y vigilancia a países de todo el mundo, como Burkina Faso, Kuwait, Omán, México, Arabia Saudita y Uzbekistán.

El análisis de los datos dentro del sistema expuesto reveló al menos un centenar de cámaras ubicadas en las principales ciudades uzbekas, así como en cruces concurridos y otras rutas de tránsito importantes.

Trazamos las coordenadas GPS de las cámaras y encontramos bancos de lectores de matrículas en Tashkent, las ciudades de Jizzakh y Qarshi en el sur, y Namangan en el este. Algunas de las cámaras están ubicadas en zonas rurales, como en rutas cercanas a las zonas fronterizas, antes disputadas, entre Uzbekistán y Tayikistán.

En Tashkent, la ciudad más grande del país, las cámaras se pueden encontrar en más de una docena de ubicaciones. Algunas de estas cámaras incluso son visibles en Google Street View.

Las cámaras, algunas de las cuales incluyen una marca de agua en sus grabaciones con el nombre del fabricante de cámaras singapurense Holowits, capturan videos e imágenes fijas de vehículos que infringen las normas en resolución 4K.

El sistema expuesto permite acceder a su interfaz web, que contiene un panel que permite a los operadores examinar las grabaciones de las infracciones de tránsito. El panel contiene fotos ampliadas y el video sin editar de las infracciones, así como de los vehículos circundantes. (Eliminamos las matrículas y los ocupantes de los vehículos antes de su publicación).

La exposición del sistema nacional de lectura de matrículas de Uzbekistán es el último ejemplo de una falla de seguridad relacionada con las cámaras de vigilancia vial.

A principios de este año, Wired informó que más de 150 lectores de matrículas en Estados Unidos y los datos vehiculares en tiempo real que recopilan fueron expuestos a internet sin ningún tipo de seguridad.

Los lectores de matrículas expuestos no son un fenómeno nuevo. En 2019, se informó que más de cien lectores de matrículas eran accesibles a través de internet, lo que permitía a cualquiera acceder a los datos. Algunos llevaban expuestos durante años, a pesar de que investigadores de seguridad habían advertido a las fuerzas del orden sobre la posibilidad de acceder a estos sistemas desde la web.