盡管是烏龍一場——民警一年前為破案安裝,但攝像頭泄露隱私留下的“陰影”,往往一經(jīng)提及便迅速發(fā)酵。年前,“使用非法手段破解攝像頭,上傳視頻監(jiān)控畫面至B站”被曝光,視頻網(wǎng)站上從辦公室到教室的“直播”暴露出公共攝像頭安全問題。爆料網(wǎng)友口中,“這一條黑產(chǎn)可能已經(jīng)形成,他們發(fā)視頻的目的應(yīng)該是拉人入付費(fèi)群。”
近日,新京報貝殼財經(jīng)記者調(diào)查發(fā)現(xiàn),不少原為安防監(jiān)控而設(shè)置的攝像頭被破解,并以100至260元不等的價格在黑市上出售。攝像鏡頭中人影攢動,正對著服裝網(wǎng)店的倉庫兼直播間。畫面中,不僅可以看到帶貨主播面對手機(jī)直播講解,還有一旁更換衣物的試穿模特。
記者調(diào)查中,賣家往往以一批攝像頭ID捆綁銷售,且每個ID包含數(shù)個攝像頭鏡頭,場所涉及宿舍、美容院、服裝店等。
貝殼財經(jīng)記者登錄其中一個攝像頭賬戶,可以清晰看到服裝店收銀臺、前后門以及貨架的監(jiān)控場景。此外,通過店面貨架攝像頭,排列整齊的衣服,挑選衣服的顧客和工作人員等盡收眼底。
值得一提的是,這一黑灰產(chǎn)還打著“直播”的幌子兜售攝像頭畫面。有賣家對記者表示,觀看公共攝像頭“沒意思”,“還有一批情趣酒店攝像頭”。
事實上,國家相關(guān)部門近年來一直在不斷加大對偷拍及非法銷售相關(guān)設(shè)備的打擊力度。2021年5月至8月,中央網(wǎng)信辦會同工業(yè)和信息化部、公安部、市場監(jiān)管總局,在全國范圍開展攝像頭偷窺黑產(chǎn)集中治理,公安機(jī)關(guān)共抓獲犯罪嫌疑人59名,收繳竊聽竊照器材1500余套。
此前爆料網(wǎng)友發(fā)布的視頻截圖顯示,上傳至B站的監(jiān)控視頻場所包括學(xué)校教室、醫(yī)院和商場前臺等。
有和黑灰產(chǎn)對抗經(jīng)驗的吳名(化名)告訴貝殼財經(jīng)記者,視頻畫面顯示這些攝像頭的位置較為明顯,應(yīng)該為普通監(jiān)控攝像頭。“但攝像頭的主人大概率不會自己上傳自己的監(jiān)控內(nèi)容到網(wǎng)絡(luò)上,應(yīng)該是攝像頭的ID和密碼遭到了泄露。”
攝像頭安全并非新鮮話題,卻每次伴隨隱私泄露而被推至前臺。
2021年4月,貝殼財經(jīng)記者在攝像頭黑灰產(chǎn)調(diào)查中發(fā)現(xiàn),不少已被“破解”的智能攝像頭ID地址,在“直播臺”明碼標(biāo)價公開銷售,價格從40元到200元不等,遭到泄露的攝像頭場景包括公開試衣間、倉庫、店面以及私人家庭。
近期,貝殼財經(jīng)記者再次登錄相關(guān)平臺看到,該產(chǎn)業(yè)鏈依然存在。不過,此前破解攝像頭的工具和App已經(jīng)無法使用。
一名攝像頭ID賣家表示,由于監(jiān)管部門打擊,此前不少“老臺”已經(jīng)停用。而觀看攝像頭監(jiān)控內(nèi)容的App也已經(jīng)“更新?lián)Q代”,必須通過技術(shù)手段才能登錄,購買攝像頭賬號密碼的價格在120至260元之間,而每個ID往往包含數(shù)個攝像頭鏡頭。
貝殼財經(jīng)記者隨機(jī)登錄一個ID看到,其一共擁有8組攝像頭,其中4組正在正常運(yùn)行。根據(jù)攝像頭角度可以看出來,這是一組服裝店的監(jiān)控攝像頭,店面內(nèi)景清晰可見,攝像頭甚至還有“控制角度”選項。
記者注意到,相比被上傳至B站的教室、醫(yī)院等場景,這些被售賣的攝像頭場所甚至包括宿舍、客廳、美容院、服裝店等。
“要教室和醫(yī)院(攝像頭)也不是沒有,但沒人看。”賣家告訴貝殼財經(jīng)記者,“前臺有什么意思,這些鏡頭有對著床和沙發(fā)的,看這些多刺激。”
對此,有專家表示,根據(jù)我國治安管理法條例中的規(guī)定,偷窺、偷拍、竊聽、散布他人隱私,處5日以下拘留或者500元以下罰款;情節(jié)較重的,處5日以上10日以下拘留,可以并處500元以下罰款。但是,這樣的處罰與傳播偷窺偷拍“產(chǎn)品”獲利相較,顯然缺乏力度,不足以對他們形成足夠的震懾。因此,在相關(guān)部門予以全鏈條打擊的同時,有必要完善相關(guān)法律法規(guī),提高違法者的犯罪成本。
“直播”噱頭:攝像頭對著沙發(fā)、床
吳名告訴記者,如果如爆料網(wǎng)友所推測,將監(jiān)控上傳至B站是為了“引流”,那么不排除上傳視頻者先發(fā)送一些“普通內(nèi)容”測試能否過審,最終拉人入群再收費(fèi),提供涉黃視頻內(nèi)容。
調(diào)查中,貝殼財經(jīng)記者看到,除了破解已存在的公共攝像頭外,黑灰產(chǎn)平臺上被售賣較多的攝像頭視頻類型主要為視角正對沙發(fā)、床。調(diào)查期間,有賣家對記者表示,觀看公共攝像頭“沒意思”,“還有一批情趣酒店攝像頭,是運(yùn)作多年的‘老臺’,感不感興趣?”
此外,該賣家還表示,有已經(jīng)下載好的酒店監(jiān)控視頻出售。
貝殼財經(jīng)記者注意到,攝像頭畫面之所以能衍生出地下生意,往往以“直播”為噱頭。
“買了ID后,打開看不一定一直都有內(nèi)容,但是實時直播有誘惑力。”有賣家以此理由向記者推薦攝像頭畫面。
貝殼財經(jīng)記者調(diào)查了解到,安裝針孔攝像頭或者能夠破解他人攝像頭ID的人被稱為“機(jī)主”。由于掌握賬號和密碼,機(jī)主會通過發(fā)展代理售賣攝像頭的觀看權(quán)。
根據(jù)法院曾公開發(fā)布的案例文書,有安裝者在QQ群中發(fā)送視頻截圖及文字介紹宣傳“推廣”,再以每個邀請碼150元到200元的價格銷售給下線代理,代理則在加價后繼續(xù)發(fā)展下線或直接售賣給網(wǎng)友進(jìn)行觀看。經(jīng)過層層加價后,一個邀請碼最高能賣至600元以上,每個攝像頭最多可生成100個邀請碼,供百人同時在線觀看,而針孔攝像頭的價格則僅有150元左右。
“機(jī)主新上臺,一個臺不保證能有多久,但24小時有人,保證精彩不斷,需要購買聯(lián)系我。”在黑灰產(chǎn)平臺中,有代理發(fā)布了這樣的“廣告”。
“對此類售賣攝像頭ID的黑灰產(chǎn)來說,就不存在破解問題了,因為機(jī)主本身就是為了售賣觀看權(quán)限才安裝的攝像頭。”吳名對記者表示,“實際上,公共區(qū)域攝像頭由于存在防火墻,破解難度較高,且畫面較為普通,買家并不多。相比之下,私人安裝的攝像頭,甚至故意購買隱蔽攝像頭安裝到酒店、試衣間等再將ID出售以謀求利益的黑灰產(chǎn)賣家更多。”
中國裁判文書網(wǎng)此前公布的一起制作、復(fù)制、出版、販賣、傳播淫穢物品牟利案件中,被告人趙某在賓館房間內(nèi)隱蔽處私自安裝攝像頭,并通過網(wǎng)絡(luò)將觀看上述淫穢視頻的“邀請碼”銷售給黑灰產(chǎn)從業(yè)者,后者加價后再通過網(wǎng)絡(luò)相互轉(zhuǎn)賣或販賣給他人予以傳播牟利。最終,趙某因制作、販賣、傳播淫穢物品牟利罪,被判處有期徒刑十一年。
安裝攝像頭不改密碼留隱患,弱密碼易被“操控”
攝像頭暴露隱私問題的嚴(yán)重性,正在提示人們提高警覺。
2021年,北京市第三中級人民法院審結(jié)的一起案件中,被告人巫某某控制了全球18萬個攝像頭。“我收藏或錄制的都是一些私人住宅里人體裸露的視頻。”一名巫某某的“客戶”李某證言稱,他注冊App會員后,分兩次支付668元成為終身會員。“觀看不限時間,隨機(jī)出現(xiàn)6個鏡頭內(nèi)容,可以收藏、錄制,內(nèi)容有私人住宅、公共場所、培訓(xùn)機(jī)構(gòu)等。”
從2018年至2019年3月5日案發(fā)被抓獲,巫某某通過在網(wǎng)絡(luò)推廣上述攝像頭實時監(jiān)控畫面非法獲利人民幣70余萬元。最終,巫某某犯非法控制計算機(jī)信息系統(tǒng)罪,被判處有期徒刑5年,罰金人民幣10萬元,并追繳違法所得。
據(jù)了解,巫某某是從網(wǎng)上購買了一款軟件,并非法獲取了某品牌網(wǎng)絡(luò)攝像頭的用戶數(shù)據(jù)庫,在這個數(shù)據(jù)庫的基礎(chǔ)上搭建了一款A(yù)pp,并實現(xiàn)數(shù)據(jù)導(dǎo)入,吸引用戶有償?shù)卿洃?yīng)用程序,觀看網(wǎng)絡(luò)攝像頭實時監(jiān)控內(nèi)容。而其服務(wù)器掛在境外。
“這是常規(guī)的‘脫庫’操作”。吳名告訴貝殼財經(jīng)記者,“除此之外,還有更笨的方法,就是攻擊那些密碼設(shè)置比較弱的攝像頭賬號,甚至還有不更改密碼的賬號。”
杭州安恒信息技術(shù)股份有限公司海特實驗室副主任信心對貝殼財經(jīng)記者表示,目前公共區(qū)域的攝像頭安全程度高低不一。由于監(jiān)控攝像系統(tǒng)多由各個公共區(qū)域的管理者安裝,其安全防護(hù)程度也不同,部分場所的攝像系統(tǒng)采用了專網(wǎng)專用,部署了安全防火墻,運(yùn)維人員有專門的安全培訓(xùn),這樣的系統(tǒng)安全程度較高,黑客破解的難度較大。
而部分系統(tǒng)也存在權(quán)限混亂,密碼簡單,互聯(lián)網(wǎng)與監(jiān)控網(wǎng)絡(luò)混合使用,一旦爆發(fā)設(shè)備漏洞或權(quán)限信息泄露,可以被黑客輕易破解。
事實上,貝殼財經(jīng)記者打開賣家發(fā)給記者的攝像頭ID發(fā)現(xiàn),百分之九十以上的賬號密碼都是未更改過的原始賬戶名,如“admin”、“abc”等,密碼也極其簡單。
“為了遏制破解公共區(qū)域攝像頭的行為,各監(jiān)控系統(tǒng)的管理者需要承擔(dān)更多的責(zé)任。監(jiān)控網(wǎng)絡(luò)應(yīng)當(dāng)專網(wǎng)專用,采購合規(guī)廠商的監(jiān)控產(chǎn)品。”信心對貝殼財經(jīng)記者表示,監(jiān)控攝像系統(tǒng)現(xiàn)在行業(yè)內(nèi)已經(jīng)有完善的安全防護(hù)方案,但是因為這一類安全防護(hù)的落地會使監(jiān)控系統(tǒng)的建設(shè)周期變長,資金投入變大,并且不是一個強(qiáng)制要求,導(dǎo)致許多監(jiān)控管理者、建設(shè)方不愿在此方向進(jìn)行投入。
信心認(rèn)為,未來要提升使用人員的安全意識,及時更新系統(tǒng)軟件,找專業(yè)安全公司落地安全防護(hù)方案。
杭州安恒信息技術(shù)公司安全研究院院長吳卓群此前曾為一些智能攝像頭企業(yè)做過安全監(jiān)測。他發(fā)現(xiàn),不少廠商的產(chǎn)品在軟件設(shè)置上存在“不強(qiáng)制用戶修改初始密碼,甚至不設(shè)密碼”的問題。
吳卓群表示,盡管現(xiàn)在生產(chǎn)者信息安全意識有所提高,但值得擔(dān)憂的是此前生產(chǎn)的存在安全漏洞的攝像頭已流入千家萬戶。
新京報記者此前調(diào)查中,有視頻攝像頭品牌客服人員查詢記者購買的賬號后告知,該攝像頭從購買后一直未更改,系用默認(rèn)連接,“客戶連上后,沒有修改密碼”。客服人員解釋稱,上述賬號對應(yīng)的家用攝像頭是老款產(chǎn)品,需要自己修改密碼,升級到最新版本后,若不修改密碼,每次登錄都會強(qiáng)制提醒用戶修改。
近日,記者再次登錄該視頻監(jiān)控App后發(fā)現(xiàn),在點(diǎn)擊進(jìn)入某些攝像頭ID賬戶時,確實會彈出“基于用戶隱私保護(hù),建議修改密碼后繼續(xù)訪問視頻”的提醒,但這一提醒并不會出現(xiàn)在所有登錄ID的操作中,只是隨機(jī)跳出。
對于如何防止攝像頭被破解,360集團(tuán)硬件專業(yè)委員會執(zhí)行主席孫浩曾表示,圍繞攝像頭常見的安全漏洞可以分為三大類:第一類是命令注入漏洞,可以借此執(zhí)行系統(tǒng)命令或者運(yùn)行任意程序;第二類是授權(quán)問題,可以訪問未授權(quán)或者通過某個隱藏入口直接訪問對應(yīng)的設(shè)備;第三類是服務(wù)器存在訪問控制缺陷,例如2018年4月HK云服務(wù)器發(fā)現(xiàn)訪問控制缺陷,任意人可以通過該漏洞實現(xiàn)查看攝像、回放錄像、添加賬戶共享等操作。
孫浩表示,影響最大的安全漏洞還是弱密碼問題,弱密碼之前在攝像機(jī)、路由器上都很常見,攝像機(jī)上尤其突出,因為多數(shù)用于公共安防的攝像機(jī)需要和NVR等設(shè)備做集成部署,所以多數(shù)攝像機(jī)都是使用的默認(rèn)密碼,在互聯(lián)網(wǎng)上只要搜索一下就能夠得到主流設(shè)備廠商的默認(rèn)用戶名和密碼。如果攝像機(jī)暴露在公網(wǎng),通過弱密碼一碰,很容易就能夠控制攝像機(jī),根本不需要什么復(fù)雜的操作。
文章轉(zhuǎn)載自cnBeta.COM