El incidente revela una serie de vulnerabilidades críticas en la plataforma de timbres inteligentes de Naxclow, originadas principalmente por una combinación de malas prácticas de seguridad en el diseño del firmware y la arquitectura del backend. La causa raíz se centra en la falta de autenticación robusta y la exposición de credenciales persistentes. El mecanismo de "firma" de las solicitudes, basado en un SHA1 con un "secreto" hardcodeado e idéntico en todas las unidades, no proporciona autenticación real, permitiendo la falsificación de cualquier solicitud.
La cascada de fallos se inicia con la capacidad de falsificar solicitudes. Esto permite la enumeración de IDs de dispositivos (debido a su naturaleza secuencial), el "silent takeover" de cualquier timbre (rebind sin verificación de propiedad), la obtención del "persistent relay password" de cualquier dispositivo (mediante un endpoint no autenticado), y la suplantación de identidad en llamadas en vivo. Además, la exposición de un shell de depuración UART en hardware de producción, junto con el volcado de credenciales de red WiFi y la capacidad de leer/escribir memoria, convierte un acceso físico trivial en un compromiso de red completo.
Las salvaguardas fallaron en múltiples niveles. No había un mecanismo de actualización OTA funcional, lo que significa que cualquier parche de seguridad no podría llegar a los dispositivos ya desplegados. La autenticación en el backend era fundamentalmente defectuosa, confiando en un "secreto" público y sin protección contra replay. Las credenciales persistentes (devToken, cliToken) nunca rotaban, incluso después de un factory reset o rebind, lo que amplificaba el impacto de su exposición. La falta de cifrado en la comunicación P2P y el uso de HTTP plano para el control plane, a pesar de que el servidor soportaba TLS, son fallos adicionales en la implementación de seguridad.