En 400-6655-581
5
返回列表
> 資源中心 > 公共攝像頭“偷窺”:被破解ID百元打包賣 黑產(chǎn)整治風(fēng)暴刮起

公共攝像頭“偷窺”:被破解ID百元打包賣 黑產(chǎn)整治風(fēng)暴刮起

2022-03-04瀏覽次數(shù):484

盡管是烏龍一場(chǎng)——民警一年前為破案安裝,但攝像頭泄露隱私留下的“陰影”,往往一經(jīng)提及便迅速發(fā)酵。年前,“使用非法手段破解攝像頭,上傳視頻監(jiān)控畫面至B站”被曝光,視頻網(wǎng)站上從辦公室到教室的“直播”暴露出公共攝像頭安全問(wèn)題。爆料網(wǎng)友口中,“這一條黑產(chǎn)可能已經(jīng)形成,他們發(fā)視頻的目的應(yīng)該是拉人入付費(fèi)群。”
近日,新京報(bào)貝殼財(cái)經(jīng)記者調(diào)查發(fā)現(xiàn),不少原為安防監(jiān)控而設(shè)置的攝像頭被破解,并以100至260元不等的價(jià)格在黑市上出售。攝像鏡頭中人影攢動(dòng),正對(duì)著服裝網(wǎng)店的倉(cāng)庫(kù)兼直播間。畫面中,不僅可以看到帶貨主播面對(duì)手機(jī)直播講解,還有一旁更換衣物的試穿模特。
記者調(diào)查中,賣家往往以一批攝像頭ID捆綁銷售,且每個(gè)ID包含數(shù)個(gè)攝像頭鏡頭,場(chǎng)所涉及宿舍、美容院、服裝店等。
貝殼財(cái)經(jīng)記者登錄其中一個(gè)攝像頭賬戶,可以清晰看到服裝店收銀臺(tái)、前后門以及貨架的監(jiān)控場(chǎng)景。此外,通過(guò)店面貨架攝像頭,排列整齊的衣服,挑選衣服的顧客和工作人員等盡收眼底。
值得一提的是,這一黑灰產(chǎn)還打著“直播”的幌子兜售攝像頭畫面。有賣家對(duì)記者表示,觀看公共攝像頭“沒(méi)意思”,“還有一批情趣酒店攝像頭”。
事實(shí)上,國(guó)家相關(guān)部門近年來(lái)一直在不斷加大對(duì)偷拍及非法銷售相關(guān)設(shè)備的打擊力度。2021年5月至8月,中央網(wǎng)信辦會(huì)同工業(yè)和信息化部、公安部、市場(chǎng)監(jiān)管總局,在全國(guó)范圍開(kāi)展攝像頭偷窺黑產(chǎn)集中治理,公安機(jī)關(guān)共抓獲犯罪嫌疑人59名,收繳竊聽(tīng)竊照器材1500余套。
此前爆料網(wǎng)友發(fā)布的視頻截圖顯示,上傳至B站的監(jiān)控視頻場(chǎng)所包括學(xué)校教室、醫(yī)院和商場(chǎng)前臺(tái)等。
有和黑灰產(chǎn)對(duì)抗經(jīng)驗(yàn)的吳名(化名)告訴貝殼財(cái)經(jīng)記者,視頻畫面顯示這些攝像頭的位置較為明顯,應(yīng)該為普通監(jiān)控?cái)z像頭。“但攝像頭的主人大概率不會(huì)自己上傳自己的監(jiān)控內(nèi)容到網(wǎng)絡(luò)上,應(yīng)該是攝像頭的ID和密碼遭到了泄露。”
攝像頭安全并非新鮮話題,卻每次伴隨隱私泄露而被推至前臺(tái)。
2021年4月,貝殼財(cái)經(jīng)記者在攝像頭黑灰產(chǎn)調(diào)查中發(fā)現(xiàn),不少已被“破解”的智能攝像頭ID地址,在“直播臺(tái)”明碼標(biāo)價(jià)公開(kāi)銷售,價(jià)格從40元到200元不等,遭到泄露的攝像頭場(chǎng)景包括公開(kāi)試衣間、倉(cāng)庫(kù)、店面以及私人家庭。
近期,貝殼財(cái)經(jīng)記者再次登錄相關(guān)平臺(tái)看到,該產(chǎn)業(yè)鏈依然存在。不過(guò),此前破解攝像頭的工具和App已經(jīng)無(wú)法使用。
一名攝像頭ID賣家表示,由于監(jiān)管部門打擊,此前不少“老臺(tái)”已經(jīng)停用。而觀看攝像頭監(jiān)控內(nèi)容的App也已經(jīng)“更新?lián)Q代”,必須通過(guò)技術(shù)手段才能登錄,購(gòu)買攝像頭賬號(hào)密碼的價(jià)格在120至260元之間,而每個(gè)ID往往包含數(shù)個(gè)攝像頭鏡頭。
貝殼財(cái)經(jīng)記者隨機(jī)登錄一個(gè)ID看到,其一共擁有8組攝像頭,其中4組正在正常運(yùn)行。根據(jù)攝像頭角度可以看出來(lái),這是一組服裝店的監(jiān)控?cái)z像頭,店面內(nèi)景清晰可見(jiàn),攝像頭甚至還有“控制角度”選項(xiàng)。
記者注意到,相比被上傳至B站的教室、醫(yī)院等場(chǎng)景,這些被售賣的攝像頭場(chǎng)所甚至包括宿舍、客廳、美容院、服裝店等。
“要教室和醫(yī)院(攝像頭)也不是沒(méi)有,但沒(méi)人看。”賣家告訴貝殼財(cái)經(jīng)記者,“前臺(tái)有什么意思,這些鏡頭有對(duì)著床和沙發(fā)的,看這些多刺激。”
對(duì)此,有專家表示,根據(jù)我國(guó)治安管理法條例中的規(guī)定,偷窺、偷拍、竊聽(tīng)、散布他人隱私,處5日以下拘留或者500元以下罰款;情節(jié)較重的,處5日以上10日以下拘留,可以并處500元以下罰款。但是,這樣的處罰與傳播偷窺偷拍“產(chǎn)品”獲利相較,顯然缺乏力度,不足以對(duì)他們形成足夠的震懾。因此,在相關(guān)部門予以全鏈條打擊的同時(shí),有必要完善相關(guān)法律法規(guī),提高違法者的犯罪成本。
“直播”噱頭:攝像頭對(duì)著沙發(fā)、床
吳名告訴記者,如果如爆料網(wǎng)友所推測(cè),將監(jiān)控上傳至B站是為了“引流”,那么不排除上傳視頻者先發(fā)送一些“普通內(nèi)容”測(cè)試能否過(guò)審,最終拉人入群再收費(fèi),提供涉黃視頻內(nèi)容。
調(diào)查中,貝殼財(cái)經(jīng)記者看到,除了破解已存在的公共攝像頭外,黑灰產(chǎn)平臺(tái)上被售賣較多的攝像頭視頻類型主要為視角正對(duì)沙發(fā)、床。調(diào)查期間,有賣家對(duì)記者表示,觀看公共攝像頭“沒(méi)意思”,“還有一批情趣酒店攝像頭,是運(yùn)作多年的‘老臺(tái)’,感不感興趣?”
此外,該賣家還表示,有已經(jīng)下載好的酒店監(jiān)控視頻出售。
貝殼財(cái)經(jīng)記者注意到,攝像頭畫面之所以能衍生出地下生意,往往以“直播”為噱頭。
“買了ID后,打開(kāi)看不一定一直都有內(nèi)容,但是實(shí)時(shí)直播有誘惑力。”有賣家以此理由向記者推薦攝像頭畫面。
貝殼財(cái)經(jīng)記者調(diào)查了解到,安裝針孔攝像頭或者能夠破解他人攝像頭ID的人被稱為“機(jī)主”。由于掌握賬號(hào)和密碼,機(jī)主會(huì)通過(guò)發(fā)展代理售賣攝像頭的觀看權(quán)。
根據(jù)法院曾公開(kāi)發(fā)布的案例文書,有安裝者在QQ群中發(fā)送視頻截圖及文字介紹宣傳“推廣”,再以每個(gè)邀請(qǐng)碼150元到200元的價(jià)格銷售給下線代理,代理則在加價(jià)后繼續(xù)發(fā)展下線或直接售賣給網(wǎng)友進(jìn)行觀看。經(jīng)過(guò)層層加價(jià)后,一個(gè)邀請(qǐng)碼最高能賣至600元以上,每個(gè)攝像頭最多可生成100個(gè)邀請(qǐng)碼,供百人同時(shí)在線觀看,而針孔攝像頭的價(jià)格則僅有150元左右。
“機(jī)主新上臺(tái),一個(gè)臺(tái)不保證能有多久,但24小時(shí)有人,保證精彩不斷,需要購(gòu)買聯(lián)系我。”在黑灰產(chǎn)平臺(tái)中,有代理發(fā)布了這樣的“廣告”。
“對(duì)此類售賣攝像頭ID的黑灰產(chǎn)來(lái)說(shuō),就不存在破解問(wèn)題了,因?yàn)闄C(jī)主本身就是為了售賣觀看權(quán)限才安裝的攝像頭。”吳名對(duì)記者表示,“實(shí)際上,公共區(qū)域攝像頭由于存在防火墻,破解難度較高,且畫面較為普通,買家并不多。相比之下,私人安裝的攝像頭,甚至故意購(gòu)買隱蔽攝像頭安裝到酒店、試衣間等再將ID出售以謀求利益的黑灰產(chǎn)賣家更多。”
中國(guó)裁判文書網(wǎng)此前公布的一起制作、復(fù)制、出版、販賣、傳播淫穢物品牟利案件中,被告人趙某在賓館房間內(nèi)隱蔽處私自安裝攝像頭,并通過(guò)網(wǎng)絡(luò)將觀看上述淫穢視頻的“邀請(qǐng)碼”銷售給黑灰產(chǎn)從業(yè)者,后者加價(jià)后再通過(guò)網(wǎng)絡(luò)相互轉(zhuǎn)賣或販賣給他人予以傳播牟利。最終,趙某因制作、販賣、傳播淫穢物品牟利罪,被判處有期徒刑十一年。
安裝攝像頭不改密碼留隱患,弱密碼易被“操控”
攝像頭暴露隱私問(wèn)題的嚴(yán)重性,正在提示人們提高警覺(jué)。
2021年,北京市第三中級(jí)人民法院審結(jié)的一起案件中,被告人巫某某控制了全球18萬(wàn)個(gè)攝像頭。“我收藏或錄制的都是一些私人住宅里人體裸露的視頻。”一名巫某某的“客戶”李某證言稱,他注冊(cè)App會(huì)員后,分兩次支付668元成為終身會(huì)員。“觀看不限時(shí)間,隨機(jī)出現(xiàn)6個(gè)鏡頭內(nèi)容,可以收藏、錄制,內(nèi)容有私人住宅、公共場(chǎng)所、培訓(xùn)機(jī)構(gòu)等。”
從2018年至2019年3月5日案發(fā)被抓獲,巫某某通過(guò)在網(wǎng)絡(luò)推廣上述攝像頭實(shí)時(shí)監(jiān)控畫面非法獲利人民幣70余萬(wàn)元。最終,巫某某犯非法控制計(jì)算機(jī)信息系統(tǒng)罪,被判處有期徒刑5年,罰金人民幣10萬(wàn)元,并追繳違法所得。
據(jù)了解,巫某某是從網(wǎng)上購(gòu)買了一款軟件,并非法獲取了某品牌網(wǎng)絡(luò)攝像頭的用戶數(shù)據(jù)庫(kù),在這個(gè)數(shù)據(jù)庫(kù)的基礎(chǔ)上搭建了一款A(yù)pp,并實(shí)現(xiàn)數(shù)據(jù)導(dǎo)入,吸引用戶有償?shù)卿洃?yīng)用程序,觀看網(wǎng)絡(luò)攝像頭實(shí)時(shí)監(jiān)控內(nèi)容。而其服務(wù)器掛在境外。
“這是常規(guī)的‘脫庫(kù)’操作”。吳名告訴貝殼財(cái)經(jīng)記者,“除此之外,還有更笨的方法,就是攻擊那些密碼設(shè)置比較弱的攝像頭賬號(hào),甚至還有不更改密碼的賬號(hào)。”
杭州安恒信息技術(shù)股份有限公司海特實(shí)驗(yàn)室副主任信心對(duì)貝殼財(cái)經(jīng)記者表示,目前公共區(qū)域的攝像頭安全程度高低不一。由于監(jiān)控?cái)z像系統(tǒng)多由各個(gè)公共區(qū)域的管理者安裝,其安全防護(hù)程度也不同,部分場(chǎng)所的攝像系統(tǒng)采用了專網(wǎng)專用,部署了安全防火墻,運(yùn)維人員有專門的安全培訓(xùn),這樣的系統(tǒng)安全程度較高,黑客破解的難度較大。
而部分系統(tǒng)也存在權(quán)限混亂,密碼簡(jiǎn)單,互聯(lián)網(wǎng)與監(jiān)控網(wǎng)絡(luò)混合使用,一旦爆發(fā)設(shè)備漏洞或權(quán)限信息泄露,可以被黑客輕易破解。
事實(shí)上,貝殼財(cái)經(jīng)記者打開(kāi)賣家發(fā)給記者的攝像頭ID發(fā)現(xiàn),百分之九十以上的賬號(hào)密碼都是未更改過(guò)的原始賬戶名,如“admin”、“abc”等,密碼也極其簡(jiǎn)單。
“為了遏制破解公共區(qū)域攝像頭的行為,各監(jiān)控系統(tǒng)的管理者需要承擔(dān)更多的責(zé)任。監(jiān)控網(wǎng)絡(luò)應(yīng)當(dāng)專網(wǎng)專用,采購(gòu)合規(guī)廠商的監(jiān)控產(chǎn)品。”信心對(duì)貝殼財(cái)經(jīng)記者表示,監(jiān)控?cái)z像系統(tǒng)現(xiàn)在行業(yè)內(nèi)已經(jīng)有完善的安全防護(hù)方案,但是因?yàn)檫@一類安全防護(hù)的落地會(huì)使監(jiān)控系統(tǒng)的建設(shè)周期變長(zhǎng),資金投入變大,并且不是一個(gè)強(qiáng)制要求,導(dǎo)致許多監(jiān)控管理者、建設(shè)方不愿在此方向進(jìn)行投入。
信心認(rèn)為,未來(lái)要提升使用人員的安全意識(shí),及時(shí)更新系統(tǒng)軟件,找專業(yè)安全公司落地安全防護(hù)方案。
杭州安恒信息技術(shù)公司安全研究院院長(zhǎng)吳卓群此前曾為一些智能攝像頭企業(yè)做過(guò)安全監(jiān)測(cè)。他發(fā)現(xiàn),不少?gòu)S商的產(chǎn)品在軟件設(shè)置上存在“不強(qiáng)制用戶修改初始密碼,甚至不設(shè)密碼”的問(wèn)題。
吳卓群表示,盡管現(xiàn)在生產(chǎn)者信息安全意識(shí)有所提高,但值得擔(dān)憂的是此前生產(chǎn)的存在安全漏洞的攝像頭已流入千家萬(wàn)戶。
新京報(bào)記者此前調(diào)查中,有視頻攝像頭品牌客服人員查詢記者購(gòu)買的賬號(hào)后告知,該攝像頭從購(gòu)買后一直未更改,系用默認(rèn)連接,“客戶連上后,沒(méi)有修改密碼”??头藛T解釋稱,上述賬號(hào)對(duì)應(yīng)的家用攝像頭是老款產(chǎn)品,需要自己修改密碼,升級(jí)到最新版本后,若不修改密碼,每次登錄都會(huì)強(qiáng)制提醒用戶修改。
近日,記者再次登錄該視頻監(jiān)控App后發(fā)現(xiàn),在點(diǎn)擊進(jìn)入某些攝像頭ID賬戶時(shí),確實(shí)會(huì)彈出“基于用戶隱私保護(hù),建議修改密碼后繼續(xù)訪問(wèn)視頻”的提醒,但這一提醒并不會(huì)出現(xiàn)在所有登錄ID的操作中,只是隨機(jī)跳出。
對(duì)于如何防止攝像頭被破解,360集團(tuán)硬件專業(yè)委員會(huì)執(zhí)行主席孫浩曾表示,圍繞攝像頭常見(jiàn)的安全漏洞可以分為三大類:第一類是命令注入漏洞,可以借此執(zhí)行系統(tǒng)命令或者運(yùn)行任意程序;第二類是授權(quán)問(wèn)題,可以訪問(wèn)未授權(quán)或者通過(guò)某個(gè)隱藏入口直接訪問(wèn)對(duì)應(yīng)的設(shè)備;第三類是服務(wù)器存在訪問(wèn)控制缺陷,例如2018年4月HK云服務(wù)器發(fā)現(xiàn)訪問(wèn)控制缺陷,任意人可以通過(guò)該漏洞實(shí)現(xiàn)查看攝像、回放錄像、添加賬戶共享等操作。
孫浩表示,影響最大的安全漏洞還是弱密碼問(wèn)題,弱密碼之前在攝像機(jī)、路由器上都很常見(jiàn),攝像機(jī)上尤其突出,因?yàn)槎鄶?shù)用于公共安防的攝像機(jī)需要和NVR等設(shè)備做集成部署,所以多數(shù)攝像機(jī)都是使用的默認(rèn)密碼,在互聯(lián)網(wǎng)上只要搜索一下就能夠得到主流設(shè)備廠商的默認(rèn)用戶名和密碼。如果攝像機(jī)暴露在公網(wǎng),通過(guò)弱密碼一碰,很容易就能夠控制攝像機(jī),根本不需要什么復(fù)雜的操作。
文章轉(zhuǎn)載自cnBeta.COM