Ironia ei voisi olla ilmeisempää. Miljoonat perheet ympäri maailman ovat asentaneet valvontakamerat suojatakseen kotejaan, mutta ovatkin sen sijaan avanneet takaoven kyberrikollisille. Tietoturvayritys Bitsightin tekemä uusi tutkimus nimittäin paljastaa, että maailmalla on ainakin 40 000 valvontakameraa, jotka lähettävät suojaamatonta livekuvaa verkkoon. Bitsightin TRACE-osasto tunnisti suojaamattomat kamerat laajojen internethakujensa perusteella. Listan ykkösenä on Yhdysvallat, josta löytyi noin 14 000 suojaamatonta kameraa, ja hyvänä kakkosena on Japani 7 000 kamerallaan. Euroopassa huonoiten menee Itävallassa ja Tšekissä, joissa kummassakin on pari tuhatta valvomatonta valvontakameraa.
Pohjoismaista tutkijat löysivät parisataa huonosti suojattua kameraa, ja kurjin tilanne on Norjassa ja Ruotsissa, jotka joutuivat pari vuotta sitten valvontakamerahyökkäysten kohteeksi. Helmikuussa 2022 nimittäin Ruotsin johtavaan kameravalmistajaan Axis Communicationsiin iskettiin pahasti, kun hakkerit ohittivat monivaiheisen tunnistautumisen, vaaransivat yrityksen sisäiset järjestelmät ja pakottivat yritystä sulkemaan kaikki ulkoiset palvelunsa.
Yksityisyys uhattuna
Bitsightin tutkijat havaitsivat kameroiden lähettävän livekuvaa niin yksityisten ihmisten olohuoneista ja etuovilta kuin yritysten neuvotteluhuoneistakin, joissa näkyi esimerkiksi yrityssalaisuuden piiriin kuuluvia tietoja valkotauluilla. Erään luksusautokaupan kamerat näyttivät myymälän Porsche-, Corvette-, Bentley- ja Mercedes-Benz-valikoimaa, mikä voi innostaa varkaita ideoimaan murtoa.
Kaikille pitäisi olla selvää, että suojaamattoman kameran kuva verkossa kaikkien nähtävillä on todella huono idea, ja silti tapauksia on tuhansittain”, Bitsight huomauttaa raportissaan.
Rikolliset toimivat pimeässä verkossa
Suojaamattomien kameroiden riskit ovat tirkistelyä vaarallisempia. Kyberturva-asiantuntijat varoittavat, että tällaiset kamerat voidaan integroida botnet-verkkoihin laajamittaisia DDoS-hyökkäyksiä varten. Akiran ransomware-ryhmä on jo näyttänyt, miten webkameroita voidaan hyödyntää haittaohjelmien levittämisessä. Eräs Bitsightin tunnistama uhka oli pimeän verkon puolella käytävät keskustelut, joissa rikolliset vaihtavat suojaamattomien videostriimien IP-osoitteita.
Perusasetuksissa haavoittuvuuksia
Kameroiden tietoturvariskit johtuvat pääosin perustason tietoturvavirheistä. Monissa laitteissa käyttäjätunnus ja salasana ovat edelleen tyyppiä ”admin”, tai salasanaa ei ole asetettu lainkaan. Tekniset haavoittuvuudet, kuten AVTECH IP-kameroiden CVE-2024-7029, ovat mahdollistaneet etäkäytön tunnistautumattomilta käyttäjiltä, mitä Corona Mirai -variantti on hyödyntänyt aktiivisesti jo maaliskuusta 2024 lähtien. Portin 554 RTSP-protokolla sallii suoratoiston ilman tunnistautumista, ja http-käyttöliittymät porteissa 80, 443 ja 8080 ovat haavoittuvaisia CSRF- ja SQL-injektioiskujen edessä.
Tietoturvahygienia kuntoon
Bitsight suosittelee, että kotikäyttäjät ottavat välittömästi käyttöön useita erilaisia turvakeinoja. Käyttäjätunnukseksi ja salasanaksi kannattaa asettaa vahvat ja yksilölliset kirjain- ja numeroyhdistelmät. Etäkäyttö kannattaa kieltää kokonaan, jos sille ei itsellä ole tarvetta. Kameran laiteohjelmisto on syytä päivittää säännöllisesti, jotta tietoturva-aukot saadaan tukittua ajantasaisesti.
Yrityksille asiantuntijat suosittelevat, että kameroiden syötteeseen olisi pääsy vain palomuurin ja VPN:n kautta. Jatkuva valvonta poikkeuksellisen toiminnan varalta ja hälytysten asettaminen uusien sisäänkirjautumisten kohdalla auttavat tunnistamaan mahdollisia tunkeutumisia omiin järjestelmiin.
