Dentro de las modalidades y tipos de servicios que ofrece Ya.com, la más nueva es, Ya.com Total.

Este servicio de ADSL incluye teléfono a través de VozIP, en las modalidades de 3, 10 y 20MB

De entre las ventajas, destacar su facil manejo y sobre todo su precio, que ya de por si muy competitivo, nos permite ahorrarnos los 13,90€ de mantenimiento que pagamos todos a Telefónica.

Lo peor, que deja inservibles las rosetas de toda la vida, que si te quedas sin internet o luz, te quedas sin teléfono y que no se puede cambiar la modalidad de velocidad contratada.

Bueno, la vulnerabilidad, conocida ya en el servicio ténico de Ya.com, afecta a los routers que se están enviando para este servicio, en concreto el SMC7908A-ISP VoIP.


A pesar de haberse actualizado el firmware, no han llegado a solucionar esta vulnerabilidad, que ya ha sido publicada y que consiste en que el puerto https, el 443 está abierto. Hasta ahí no habría mayor problema, salvo porque los clientes que tienen Ya.com, usan una línea Ethernet (No PPPoA ni PPPoE), por lo cual por defecto tienen una IP fija y esta no puede cambiarse ni pasarse a dinámica.

Bien pues conociendo la IP del usuario y a través del puerto abierto, podemos acceder al panel de configuración del router, a lo que si le sumamos, que el router tiene siempre la contraseña por defecto "admin", deja abierto a cualquier atacante remoto, nuestro router en bandeja y por tanto, nuestro servicio de internet y teléfono.

Como solución, yo os recomendaría, cambiar inmediatamente la contraseña de acceso al router, a la espera de una nueva versión de firmware, que solucione este grave bug de seguridad.

Actualización: Aquí os dejo un pantallazo del bug, como me han pedido.


Guia de instalación de Ya.com Total de Bandaancha

Actualizacion: Según una nota interna de la empresa, a la que he tenido acceso, con la nueva actualización del firmware del router se solventará este problema de seguridad. Dicha actualización se cargará por remoto. Veremos si es cierto que solucionan el problema, pero de momento, lo dejamos así.