# Seguridad informática de las etiquetas electrónicas: amenazas reales y qué exigir al proveedor

> Qué se puede atacar en un sistema de etiquetas electrónicas (radio, pasarela, nube, NFC, firmware) y qué preguntar a cualquier proveedor.

Source: https://etiquetaselectronicas.io/es/tecnologia/seguridad-etiquetas-electronicas/
Publicado: 2026-11-09 | Actualizado: 2026-11-09

Una etiqueta electrónica de estantería es un pequeño dispositivo de radio que obedece órdenes y cambia lo que ve el cliente. Su riesgo principal no es el robo de datos, sino la manipulación: un precio falso en el lineal, pantallas en blanco o una plataforma en la nube comprometida.

Lo que lo decide es si las órdenes van autenticadas, cifradas y firmadas.

Este texto no describe cómo funciona una etiqueta (eso está en la [guía de tecnología](https://etiquetaselectronicas.io/es/tecnologia/)). Se centra en lo que puede salir mal, en lo que sabemos con fuentes y en qué preguntar antes de firmar.

## Qué está en juego de verdad

Conviene empezar por rebajar el dramatismo. Una etiqueta no guarda datos de clientes ni números de tarjeta. Tampoco fija el precio de cobro: ese lo decide el sistema de caja. Lo que un atacante puede tocar es la **coherencia entre lo que ves y lo que pagas**.

Eso ya basta para hacer daño. Un precio inferior en el lineal genera reclamaciones y colas en caja. Uno superior es una práctica que nadie quiere que le atribuyan. Un bloque de pantallas borradas en plena campaña obliga a reetiquetar a mano. Y si el ataque llega a la plataforma de gestión y no a una etiqueta, el alcance es toda la cadena.

Por eso hay que pensar el sistema por capas, no solo por la etiqueta.

## Capa 1: la radio entre pasarela y etiqueta

Es la capa que más se ha investigado públicamente, y la historia es poco tranquilizadora para los sistemas antiguos.

**Un caso con número de CVE.** El registro CVE-2022-45914, publicado el 27 de noviembre de 2022, describe un protocolo de etiquetas implementado en una placa concreta (ETAG-2130-V4.3, con un transceptor OV80e934802) que «no utiliza autenticación» y permite cambiar los valores de las etiquetas mediante señales de 433 MHz. Está clasificado como evasión de autenticación por captura y repetición (CWE-294) y puntúa 6,5 sobre 10 en CVSS 3.1 según NVD; el aviso de GitHub lo baja a 5,3. Detrás hay un aviso de SEC Consult. El propio registro cita como ejemplos alterar la organización de un almacén hospitalario y cambiar precios minoristas.

**La charla que lo originó.** SEC Consult presentó en Hardwear.io USA 2022 el análisis de una etiqueta popular de 433 MHz. Su resumen habla de varios fallos que permitían falsificar la señal de radio y mostrar contenido arbitrario en las pantallas.

**Una demostración con hardware de aficionado.** Según Hackster, el investigador Aaron Christophel enseñó un equipo con un ESP32 y un módulo CC1101 alimentado por batería. Escucha unos segundos los mensajes de sincronización de una tienda para averiguar el identificador del sistema y la frecuencia; después emite un mensaje de sincronización más largo que el de la pasarela, que deja de transmitir porque no lo hace si detecta tráfico en el canal. En su prueba en una tienda real solo refrescó las pantallas sin cambiar contenido, pero señaló que una orden de borrado las dejaría inservibles. La crónica no identifica qué fabricantes están afectados, y publicó el firmware del punto de acceso pero no el código del ataque.

**Una charla más reciente.** El programa de TROOPERS26 anuncia «Priceless: Hacking Electronic Shelf Labels», con debilidades en aplicaciones Android, software de gestión, Bluetooth de baja energía y tráfico de 2,4 GHz, y afirma que los investigadores no lograron respuesta de los fabricantes. Es un resumen de programa: no hemos podido comprobar qué se presentó finalmente ni qué fabricantes se citan, y tampoco hay que tomar la afirmación sobre los fabricantes como un hecho verificado.

¿Qué se concluye de todo esto sin exagerar? Tres patrones: falta de autenticación en el enlace, mensajes que se pueden grabar y repetir, y un canal compartido que se puede ocupar para silenciar la pasarela. Los tres son defectos de diseño del protocolo, no de la pantalla.

### Qué dice el estándar

El perfil ESL del Bluetooth SIG, publicado en febrero de 2023 sobre Bluetooth 5.4, añade que órdenes y respuestas van cifradas y autenticadas con AES-CCM. Es una base pública y auditable, algo que un protocolo propietario no ofrece por defecto. Pero un estándar no garantiza una implementación correcta: la gestión de claves, la puesta en marcha y el firmware siguen siendo cosa del fabricante. Tampoco todo el parque instalado lo usa.

En los fabricantes con protocolo propio, lo que hay son hojas técnicas. La de Vusion 2.6 F menciona cifrado AES de 128 bits y NFC cifrado, por ejemplo. Es un dato de partida; la pregunta es qué se cifra, con qué claves y quién las custodia.

## Capa 2: la pasarela

La pasarela (el gateway) es el puente entre la red de la tienda y la radio de las etiquetas, y suele ser un dispositivo Linux o similar conectado por Ethernet con PoE o por Wi-Fi. Si ya has leído cuántas hacen falta en el [artículo sobre gateways](https://etiquetaselectronicas.io/es/tecnologia/gateway-etiquetas-electronicas/), aquí la pregunta es otra: qué pasa si alguien la toma.

Una pasarela comprometida puede reenviar órdenes falsas a todas las etiquetas de su radio y atravesar la red de la tienda hacia el resto. Lo que hay que mirar:

- **Segmentación.** La pasarela debería vivir en una VLAN propia, con salida solo hacia los puntos de la plataforma que el proveedor documente. Si el proveedor exige abrir la red de tienda entera, es una mala señal.
- **Conexión saliente.** Es preferible que sea la pasarela la que se conecte hacia fuera con TLS, y no que haya puertos abiertos hacia ella desde internet.
- **Credenciales y servicios.** Sin contraseñas por defecto compartidas entre instalaciones, sin SSH ni paneles web abiertos que no se usen.
- **Arranque y actualización.** Si la pasarela acepta cualquier imagen de firmware o solo las firmadas.
- **Acceso físico.** Está colgada de un techo o en un trastero, no en una sala cerrada.

## Capa 3: la cuenta y la nube

Es la capa más rentable para un atacante y la menos vistosa. Un solo usuario con permisos amplios en la plataforma de gestión puede alterar miles de etiquetas sin tocar la radio. Lo razonable es exigir:

- Doble factor de autenticación y, si lo hay, inicio de sesión único con el proveedor de identidad de la empresa.
- Roles diferenciados: quien diseña plantillas, quien aprueba un cambio masivo de precios y quien solo consulta no deberían ser la misma persona.
- Registro de auditoría: quién cambió qué precio y cuándo, exportable.
- Integración con el ERP o el TPV mediante credenciales propias de la integración, con permisos mínimos y rotación, no con la cuenta de un empleado.
- Un procedimiento de aprobación para cambios masivos, sobre todo si encajan con el [precio dinámico](https://etiquetaselectronicas.io/es/normativa/precios-dinamicos/), donde un error o un abuso tiene consecuencias legales además de comerciales.

Y la pregunta de continuidad: qué ocurre con las etiquetas si la nube cae o si se pierde la conexión de la tienda. Que sigan mostrando el último precio es lo normal, pero conviene preguntarlo y no darlo por hecho.

## Capa 4: el NFC

El NFC en una etiqueta sirve para vincularla, configurarla o actualizarla con un móvil, sin pasar por la pasarela. Es cómodo, y por eso es también una puerta. El alcance es de pocos centímetros, así que el riesgo es el de un cliente o un empleado con mal ánimo delante del lineal, no el de un atacante remoto. Aun así:

- ¿Puede cualquier móvil con una app genérica escribir en la etiqueta, o hace falta una credencial?
- ¿Se puede desactivar el NFC por política cuando no se usa?
- ¿La escritura por NFC deja rastro en la plataforma?

Las hojas técnicas hablan de NFC cifrado con AES en algunos modelos, pero ninguna de las que hemos revisado detalla cómo se autoriza la escritura. Es una pregunta abierta para el proveedor.

## Capa 5: el firmware

Una etiqueta que vive de 5 a 10 años necesita poder corregirse. Dos preguntas definen la capa:

1. **¿Se actualiza el firmware de las etiquetas por radio (OTA) y de las pasarelas?** Si no se puede, una vulnerabilidad descubierta en el año tres se queda en el techo hasta cambiar el parque.
2. **¿Las imágenes están firmadas y se verifican?** Sin verificación de firma, quien consiga hablar con la etiqueta puede instalar lo suyo.

Hay un matiz que cuesta dinero: actualizar por radio consume batería, así que un fabricante serio publica cuántas actualizaciones de firmware descuenta de la vida útil estimada de la pila. Si no sabe responder, probablemente no las ha medido.

## Lo que cambia con la regulación europea

Dos normas europeas empujan en la misma dirección.

- **Directiva de equipos radioeléctricos.** El Reglamento Delegado (UE) 2022/30 hizo exigibles desde el 1 de agosto de 2025 requisitos de ciberseguridad para equipos radio conectados a internet. El Reglamento Delegado (UE) 2026/339, de febrero de 2026, lo deroga con efecto desde el día en que el Reglamento de Ciberresiliencia se aplique por completo, y precisa que el 2022/30 se aplica hasta el 10 de diciembre de 2027.
- **Reglamento de Ciberresiliencia (UE) 2024/2847.** Según la Comisión, entró en vigor el 10 de diciembre de 2024; los fabricantes deben notificar vulnerabilidades explotadas activamente desde el 11 de septiembre de 2026, y las obligaciones principales se aplican desde el 11 de diciembre de 2027. Incluye gestión de vulnerabilidades durante todo el ciclo de vida del producto y actualizaciones de seguridad.

No hemos analizado si una etiqueta concreta cae bajo un procedimiento de evaluación u otro, y no es algo que se pueda decir en abstracto. Lo útil para el comprador es práctico: **pedir por escrito durante cuántos años se compromete el proveedor a publicar correcciones de seguridad** y cómo se notifica una vulnerabilidad. Antes de 2027, eso era una cortesía; a partir de entonces es una obligación del fabricante.

## Preguntas para cualquier proveedor

Estas catorce preguntas caben en una reunión de una hora y separan rápido a quien ha pensado el problema de quien tiene una hoja de marketing. Las versiones puntuables están en la [checklist de proveedor](https://etiquetaselectronicas.io/es/herramientas/checklist-proveedor/) y la [plantilla de RFP](https://etiquetaselectronicas.io/es/herramientas/plantilla-rfp-esl/).

| Capa | Pregunta | Una buena respuesta incluye |
|---|---|---|
| Radio | ¿Las órdenes a las etiquetas van autenticadas y cifradas? | Algoritmo, quién custodia las claves y cómo se renuevan |
| Radio | ¿Qué protege contra la repetición de mensajes grabados? | Contadores o nonces, no solo «es cifrado» |
| Radio | ¿Qué pasa si alguien ocupa el canal? | Detección y alerta de interferencia |
| Pasarela | ¿Qué puertos y servicios expone, y hacia dónde conecta? | Lista cerrada, conexión saliente por TLS |
| Pasarela | ¿Acepta solo firmware firmado? | Sí, y cómo se revoca una imagen |
| Nube | ¿MFA, roles y registro de auditoría de serie? | Exportación del registro |
| Nube | ¿Hay entorno de pruebas separado de producción? | Datos y credenciales distintos |
| Nube | ¿Qué certificaciones o informes de pruebas de penetración puede enseñar? | Informe fechado, no solo un logotipo |
| NFC | ¿Quién puede escribir en una etiqueta por NFC? | Credencial por operación; opción de desactivarlo |
| Firmware | ¿Actualización por radio y cuántos años de parches? | Compromiso escrito |
| Firmware | ¿Cuánta batería cuesta cada actualización? | Cifra medida |
| Proceso | ¿Cómo se reporta una vulnerabilidad y en qué plazo se responde? | Canal publicado y plazos |
| Proceso | ¿Han tenido incidentes y qué cambió después? | Respuesta franca |
| Salida | ¿Cómo se borran las claves y los datos al terminar el contrato? | Procedimiento y certificado |

Si el proveedor responde a casi todo con «es seguro» sin detalle, es información. Si dice «eso no lo publicamos» pero ofrece enseñarlo bajo acuerdo de confidencialidad, también lo es, y es más aceptable.

## Un orden razonable de prioridades

Para una tienda o una cadena que está evaluando, el esfuerzo rinde más así:

1. **La cuenta y los roles de la plataforma.** Es lo que más daño puede hacer y lo que más se controla.
2. **El compromiso de parches por escrito**, porque condiciona la vida útil de lo que compras (véase también la [dependencia del proveedor](https://etiquetaselectronicas.io/es/blog/etiquetas-electronicas-lock-in/)).
3. **La red de la pasarela.** Barata de segmentar al principio, cara de rehacer después.
4. **La radio.** No la puedes auditar tú, pero sí puedes pedir qué documentación y qué pruebas independientes existen.
5. **El NFC.** Importa, pero el riesgo es local.

Una prueba de seguridad sencilla, durante un piloto, es pedir al proveedor que su equipo intente (con tu permiso y en tu local) un ataque de repetición sobre un grupo de etiquetas de prueba. Si no están dispuestos, hay otra respuesta.

## Lo que este texto no puede decir

No hay un estudio independiente que compare la seguridad de los grandes fabricantes, y las vulnerabilidades públicas conocidas afectan sobre todo a sistemas baratos de 433 MHz y a trabajos de investigadores individuales. Eso no prueba que los grandes sean seguros; prueba que no se ha publicado una comparación. Tratamos cada afirmación de seguridad de un fabricante como declaración suya hasta que haya una prueba externa que la respalde.

## Preguntas frecuentes

### ¿Se pueden hackear las etiquetas electrónicas?

Sí, algunas. Hay vulnerabilidades públicas en sistemas concretos de 433 MHz que no autentican las órdenes, y demostraciones de investigadores que cambian o borran pantallas con una radio barata. Que haya casos no significa que todos los sistemas sean vulnerables; depende de si las órdenes van autenticadas y cifradas.

### ¿Qué puede conseguir un atacante con una etiqueta?

En el peor caso, mostrar un precio falso o dejar las pantallas en blanco. No cambia el precio de caja, pero sí crea una discrepancia entre estantería y cobro, que es un problema comercial y de reclamaciones. Un acceso a la plataforma en la nube sería más grave que uno a una sola etiqueta.

### ¿Basta con que el proveedor diga que usa cifrado AES?

No. Importa dónde se aplica (radio, pasarela, nube), cómo se gestionan las claves, si hay protección contra repetición de mensajes y cómo se actualiza el firmware. «AES de 128 bits» en una hoja técnica es un punto de partida, no una auditoría.

### ¿Les afecta el Reglamento de Ciberresiliencia?

A los productos con elementos digitales que se comercialicen en la UE, sí: las obligaciones de notificación empiezan el 11 de septiembre de 2026 y el grueso de requisitos el 11 de diciembre de 2027. Hasta entonces, los equipos radio ya estaban sujetos a requisitos de ciberseguridad de la Directiva de equipos radioeléctricos desde agosto de 2025.

## Fuentes

- [SEC Consult, Blackmail Roulette: investigación sobre una etiqueta de 433 MHz (presentada en Hardwear.io USA 2022)](https://sec-consult.com/blog/detail/blackmail-roulette-the-risks-of-electronic-shelf-labels-for-retail-and-critical-infrastructure/)
- [CVE-2022-45914, base de datos GCVE](https://db.gcve.eu/vuln/CVE-2022-45914)
- [Hackster.io, herramienta ESP32 que toma el control de etiquetas e-paper](https://www.hackster.io/news/aaron-christophel-s-esp32-tool-can-take-over-wipe-common-epaper-electronic-shelf-labels-32acda823cb2)
- [TROOPERS26, «Priceless: Hacking Electronic Shelf Labels» (programa)](https://cfp.troopers.de/tr26-cfp/talk/DAARST/)
- [Comisión Europea, Cyber Resilience Act](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act)
- [Reglamento Delegado (UE) 2026/339, deroga el 2022/30 (texto)](https://www.ibf-solutions.com/fileadmin/dateidownloads/2026-339-en.pdf)
- [Bluetooth SIG, Electronic Shelf Label profile (8 feb 2023)](https://www.bluetooth.com/blog/bluetooth-esl-the-global-standard-for-the-electronic-shelf-label-market/)
- [Vusion, hoja técnica ESL VUSION 2.6 F BW 2.4GHz](https://d2siani1ghtwy4.cloudfront.net/wp-content/uploads/2018/12/datasheet_ESL_VUSION_2.6_F_BW_2.4GHz.pdf)