ファイアウォールだけでは、クラウドに接続されたセキュリティカメラの乗っ取りを防げない可能性がある。
ウクライナのコンピューター緊急対応チーム（CERT-UA）は2026年10月、攻撃者がクラウド対応のアクセス機能を通じてDahuaの監視カメラとビデオレコーダーを侵害したと警告した。同機関は、映像フィードへの不正アクセス、設定の変更、不正なアカウントの作成を確認している。
攻撃には、ファイアウォールの内側にあるデバイスにも到達可能にするDahuaのリモートアクセスサービス「Easy4IP」が関与している。攻撃者はその後、脆弱な認証情報や脆弱なファームウェアを悪用し、不正な制御を得る可能性がある。
「セキュリティカメラは組織の保護に役立つはずだが、侵害されると攻撃者の監視ツールになり得る」と、Suzu Labsのチーフセキュリティエバンジェリスト、Phillip Wylie氏は述べた。同氏は、攻撃者が従業員、業務、物理的なセキュリティを把握できるようになる可能性があると警告した。
Easy4IPがファイアウォールの内側にあるカメラを露出させる仕組み
CERT-UAのセキュリティ警告によると、Easy4IPはクラウドを介したピアツーピア（P2P）監視を可能にする。予測可能なシリアル番号のパターンにより、攻撃者は外部に公開された管理ポートをスキャンしなくても、接続されたデバイスを特定できる可能性がある。
2つの認証バイパス脆弱性、CVE-2021-33044とCVE-2021-33045は、一部のDahua製品に影響を与える。米国サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）は両方を既知の悪用脆弱性カタログに追加した。2024年8月21日のことだ。Dahuaのセキュリティアドバイザリは影響を受ける製品と修正方法を特定しているが、10月のインシデントでこれらが使われたかどうかは確認されていない。
以前のキャンペーンは、その潜在的な規模を示している。Hunt.ioのOperation CameraSwarm調査では、2026年6月17日から7月22日までの間に、14,530台を超えるDahua製デバイスが侵害されたことが記録された。研究者は、永続的なバックドアアカウントを持つカメラ1,923台と、クラウドリレー経由でアクセスされたデバイス283台を特定した。一部のバックドアは、パスワード変更や工場出荷時設定へのリセット後も残存した。10月のインシデントとの関連は確認されていない。
クラウドアクセスの監査と侵害の確認
Wylie氏は、IoTデバイスは設置後に放置されることが多く、古いファームウェア、脆弱な認証情報、不要なインターネットへの露出が放置されていると指摘した。セキュリティチームは、次の対策を優先すべきだ。
- デバイスを棚卸しし、クラウドアクセスを制限：有効なEasy4IP接続を特定し、不要なP2Pアクセスを無効化するとともに、クラウドにリンクされたアカウントを確認し、外向きの通信を制限する。
- ファームウェアを更新し、サポート対象外のデバイスを交換：ベンダーがサポートする修正を適用し、安全を確保できない機器を交換する。最近のCisco Merakiカメラの脆弱性は、サポート対象のファームウェアを使う必要性を改めて示している。
- 認証を強化：脆弱な認証情報を変更し、管理者権限を確認する。さらに、過去の攻撃で特定された
p2pwnバックドアを含め、見慣れないアカウントを調査する。 - 不審なアクティビティを監視：DVRIP認証イベントを調査し、それが
127.0.0.1P2Pアクセスの可能性を示す指標であるかを確認する。侵害が発生したと結論づける前に、調査結果を設定変更と照合する。 - 監視ネットワークを分離：管理アクセスを制限し、カメラを重要システムから分離する。攻撃者がCiscoルーターを含む信頼されたインフラを侵害する場合にも、同様のリスクが生じる。
- 証拠を保全し、復旧を確認：修復を行う前にログを収集し、不正なアクセスを排除して、復旧を確認する。最近のIvanti VPNへの攻撃は、パッチ適用後も盗まれた認証情報が使える状態に残る可能性を示している。
- インシデント対応計画をテスト：セキュリティチームと施設管理チームで、デバイスの隔離、クラウドアカウントの封じ込め、証拠の収集、復旧を実践する。
Wylie氏は、メーカーには安全なデフォルト設定、強力な認証、信頼性の高いファームウェア更新を優先するよう求める一方、デバイスのセキュリティに対する責任は組織にもあると強調した。
「結局のところ、セキュリティカメラはネットワークに接続された別のコンピューターであり、ほかのエンドポイントと同じレベルのセキュリティ上の注意をもって扱う必要がある」と同氏は述べた。
CERT-UAは、10月に侵害されたデバイスの台数を公表しておらず、攻撃者も特定していない。組織はファイアウォールによる保護だけに頼るのではなく、不正アクセスを調査し、対策が完了したことを確認すべきだ。
最新情報をチェック：欧州の最新テクノロジー、AI、サイバーセキュリティの動向を追うには、Tech Insider Europeを無料購読して、進化する欧州のテクノロジー情勢を網羅的に把握しよう。