“我是你最好的朋友，我是圣诞老人。”一个8岁的小女孩在空荡荡的房间里听到了这样的问候。声音从摄像头里传来，摄像头后面是一个不认识面孔的黑客。这是圣诞节前夕发生在美国的真实摄像头黑客事件。一双眼睛在你不知情的情况下通过相机注视着你，这令人毛骨悚然。谈论相机安全可不是闹着玩的。周日晚上，当防盗警报器响起时，佛罗里达州的一对夫妇正在厨房里忙碌。然后摄像机里传来一个年轻人的声音，他甚至试图强迫这对夫妇访问一个网站。一个亚特兰大的女人正在床上休息，摄像头里传来一个男人的声音：醒醒，我在床上看到你了，醒醒！以上就是近期针对美国智能家居品牌Ring摄像头的多起攻击案例。而2019年智能相机的安全问题还不止于此。相机攻击的潘多拉魔盒2016年底，Mirai开启了相机攻击的潘多拉魔盒。当时，由数十万个摄像头组成的僵尸网络Mirai以当时最大（620G）的DDoS流??量攻击美国域名服务商Dyn，导致众多知名网站无法访问，并因此名声大噪一场战斗。到今年，随着智能家居的日益普及，智能家居摄像头以其简单的设备和实惠的价格更早进入了千家万户。然而，安全防范措施不足导致摄像头被攻击事件频发。年初，亚马逊旗下一家智能门铃研发公司被曝光。公司员工被允许观看用户门铃摄像头拍摄的视频，甚至将这些未加密的视频分享到公司服务器上；6月，央视报道称，市场上80%的家用摄像头存在安全隐患。.这些都指向相机安全问题。目前，相机应用已经形成了破解、销售为一体的完整黑色产业链。在一些贴吧里，有大量的帖子出售家用智能摄像头破解方法，价格在20-300元不等，最便宜的只需要几十个站点。而比较典型的就是直接卖破解软件，比如IP扫描。买家只需要进入任意地区的IP段，搜索某个品牌摄像机的特征，即可在IP段中找到该品牌的所有摄像机。如果摄像机设置了弱密码，可以直接登录系统查看摄像机画面。在治理下，一些破解的帖子陆续关闭，但仍有漏网之鱼。10月份还可以看到有人咨询、购买、分享相机密码破解软件。除了贩卖破解方法，贩卖所谓“相机”也是这条黑色产业链的重要一环。一个摄像头资料售价5到10元，可以观看摄像头的录制内容，包括大量私密视频，严重侵犯公民隐私，对社会危害极大。2019年网络摄像头安全漏洞和攻击方法截至2019年9月，研究人员已在全球15,000个私人网络摄像头中发现安全漏洞。与往年相比，漏洞数量持续上升，影响范围更广，如：GoogleNestCamIQ网络摄像头（版本4620002）：CVE-2019-5035和CVE-2019-5040影响：两者均可专黑客发送的精心制作的数据包触发器，允许黑客扩展对设备的Weave访问和控制。HoneywellequIP系列和Performance系列相机：CVE-2019-18230影响：网络系统或产品无法正确限制未授权角色的资源访问。Amazon的blinkXT2安全摄像头系统：CVE-2019-3984影响：允许无法访问设备的攻击者非法查看摄像头画面、接收音频并劫持设备以加入僵尸网络。...以上漏洞基本上都是厂商修复的。可以说，目前的智能摄像机主要是以手机App实时远程查看IPC监控视频的网络部署形式。NVR/DVR/IPC联网后，可以通过服务商的远程服务器将视频数据发送到用户手机上。该应用程序远程监视和控制摄像机的方向。这个过程主要包括三个部分：云端、手机端、摄像头设备端。因此，主要的网络攻击也是围绕这三个部分展开的。云端：针对服务端开放服务本身的弱口令、0day漏洞等漏洞进行攻击。移动端：常见的如MITM攻击、App脱壳等。设备端：常见的如固件提取、固件降级、调试接口暴露、反向加密等。此外，还有针对三者之间通信协议的攻击。一旦家庭摄像头被控制，黑客甚至可以利用摄像头作为跳板，畅通无阻地攻击家中的其他物联网设备，如手机等智能设备，危害极大。有人提出，智能摄像头的初衷是安全，但最终还是被安全困住了。因此，除了呼吁智能相机厂商在恶意代码防护、云加密、弱密码验证、访问控制等方面加大技术安全投入外，普通用户也必须定期进行杀毒扫描、启用双因素认证、经常更新账户密码。摄像机最好安装在客厅等公共场所，不用时尽量拔掉电源插头，以防触及。
