案例

　　張女士：客廳照片外泄被掛網(wǎng)上 照片角度和手機(jī)APP上畫面一模一樣

　　今年3月末，北京市海淀區(qū)的張女士和老公通過網(wǎng)站購買了一組某知名品牌的遠(yuǎn)程監(jiān)控?cái)z像頭，并安裝在客廳、臥室、廚房等多個(gè)位置。

　　然而，就在今年4月中旬，張女士卻無意間發(fā)現(xiàn)自家客廳的截圖被掛在網(wǎng)頁上。張女士稱，在此之前，她和家人從來沒邀請(qǐng)或允許任何網(wǎng)站的人到家中拍照片，“照片的角度就是從掛攝像頭的位置拍攝的，而且畫質(zhì)、顏色都和手機(jī)APP上的實(shí)時(shí)畫面一模一樣。”

　　此后，張女士設(shè)法與該網(wǎng)站取得了聯(lián)系，對(duì)方很快將網(wǎng)上照片刪除。“對(duì)方說，圖片不是他們拍攝的，而是從網(wǎng)上下載的，我繼續(xù)追問圖片來源，對(duì)方拒絕回答。”

　　“我們懷疑和家里裝的攝像頭有關(guān)。”無奈之下，張女士只能將所有攝像頭和相應(yīng)的手機(jī)APP全部卸載。

　　實(shí)驗(yàn)

　　破解代碼可竊取實(shí)時(shí)畫面 且清晰度高

　　昨天下午，實(shí)驗(yàn)室安全研究員王先生，為記者演示了通過軟件漏洞獲取已綁定手機(jī)用戶攝像頭實(shí)時(shí)畫面的全過程。記者發(fā)現(xiàn)，王先生所使用的工具僅為一臺(tái)已經(jīng)聯(lián)網(wǎng)的電腦，一部手機(jī)以及一段自行編寫的代碼。

　　演示過程開始前，王先生首先在手機(jī)上下載了某品牌家用攝像頭的APP軟件，隨后注冊(cè)賬號(hào)，但并沒綁定任何攝像頭，此時(shí)其頁面中攝像頭列表顯示為空。

　　△電腦輸入代碼后通過手機(jī)觀看

　　隨后，王先生在電腦軟件上輸入剛剛注冊(cè)的賬號(hào)、密碼，并在電腦上運(yùn)行其編寫的代碼。隨著代碼的運(yùn)行，手機(jī)APP頁面上立即出現(xiàn)多個(gè)攝像頭監(jiān)控畫面的預(yù)覽圖，且隨著時(shí)間的推移數(shù)量逐漸增多，隨機(jī)點(diǎn)開其中一個(gè)，經(jīng)過短暫加載，攝像頭遠(yuǎn)程傳輸?shù)漠嬅骈_始播放，且清晰度相當(dāng)高，甚至可以辨別用戶家電視中播放的電視畫面。除此，在代碼腳本運(yùn)行過程中，大量用戶注冊(cè)時(shí)使用的手機(jī)號(hào)碼也一同顯示在屏幕上。

　　王先生表示，通過視頻中的不同場景可以明顯看出，這些畫面并不僅限于某一個(gè)用戶安裝的攝像頭的拍攝畫面。“如果需要的話，(別有用心的人)可以將所有注冊(cè)此APP的用戶信息全部弄出來，然后根據(jù)單個(gè)用戶的手機(jī)號(hào)碼定位到某個(gè)特定用戶身上”，從而實(shí)施針對(duì)性極強(qiáng)的個(gè)別用戶信息竊取活動(dòng)。而只要輕輕點(diǎn)擊手機(jī)APP軟件上的錄制按鈕，盜取的畫面就會(huì)輕松地保存下來。

　　結(jié)論

　　八成家用攝頭存在安全漏洞 可隨時(shí)獲取攝像頭圖像、語音信息

　　安全研究員王先生告訴記者，從測試結(jié)果來看，目前，有關(guān)視頻畫面泄露的問題主要集中在攝像頭軟件云端邏輯漏洞和手機(jī)APP軟件漏洞兩個(gè)方面，“其他可能導(dǎo)致信息泄露的問題也存在，但是相比之下數(shù)量較少。”

　　王先生所在的實(shí)驗(yàn)室在對(duì)國內(nèi)市場上銷售的近百個(gè)品牌的家用智能攝像頭進(jìn)行安全評(píng)估測試后發(fā)現(xiàn)，近八成產(chǎn)品存在用戶信息泄露、數(shù)據(jù)傳輸未加密、APP未安全加固、代碼邏輯存在缺陷、硬件存在調(diào)試接口、可橫向控制等安全缺陷。

　　△通過手機(jī)能看到別人家的攝像內(nèi)容

　　據(jù)安全工程師劉健皓介紹，這些安全缺陷的存在讓接入網(wǎng)絡(luò)的攝像頭可以輕易被不法分子控制，隨時(shí)獲取攝像頭的圖像和語音信息，對(duì)安裝攝像頭的家庭或公司進(jìn)行監(jiān)控甚至網(wǎng)上直播。

　　劉健皓解釋，從理論上講，通過手機(jī)遠(yuǎn)程查看到攝像頭內(nèi)容，必須通過注冊(cè)，甚至要求“一對(duì)一”。但是，個(gè)別品牌的攝像頭與手機(jī)進(jìn)行連接時(shí)，并沒有對(duì)手機(jī)身份進(jìn)行驗(yàn)證，這是一個(gè)非常嚴(yán)重的漏洞。黑客可以通過漏洞，用一個(gè)虛擬的（端口）綁定就可以查看數(shù)百個(gè)攝像頭實(shí)時(shí)畫面，而出現(xiàn)此漏洞的攝像頭至少有數(shù)十款，其中包括了一些著名品牌。

　　建議

　　安全工程師：使用家用智能攝像頭 這三點(diǎn)要注意！

　　針對(duì)如何能夠保障用戶使用家用智能攝像頭拍攝的個(gè)人隱私不被泄露的問題，軟件安全工程師提醒廣大用戶。

　　第一，在購買攝像頭時(shí)，應(yīng)對(duì)所選品牌進(jìn)行一些調(diào)查，可以通過互聯(lián)網(wǎng)查詢與目標(biāo)品牌相關(guān)的帖子或報(bào)道，“目的就是找到一個(gè)口碑不錯(cuò)，價(jià)格也合適的品牌”。

　　第二，在使用時(shí)，要注意設(shè)置一定強(qiáng)度的密碼，及時(shí)關(guān)注攝像頭軟件的提醒。如果綁定的手機(jī)上發(fā)現(xiàn)了請(qǐng)求驗(yàn)證碼的短信，就應(yīng)該立刻修改密碼。

　　第三，經(jīng)常登錄攝像頭進(jìn)行查看，如發(fā)現(xiàn)實(shí)際拍攝角度與安裝時(shí)發(fā)生變化等情況，就需要考慮自己的賬號(hào)安全了。同時(shí)，要關(guān)注所用品牌攝像頭安全方面的消息，如果發(fā)現(xiàn)設(shè)備漏洞應(yīng)停止使用，等待廠家更新，并保證所使用的攝像頭軟件是最新版本。

　　有關(guān)部門須建立攝像頭安全標(biāo)準(zhǔn)

　　與此同時(shí)，安全工程師還針對(duì)家用智能攝像頭行業(yè)提出了建議。首先，有關(guān)部門亟須建立一套針對(duì)智能攝像頭的信息安全標(biāo)準(zhǔn)。其次，建議智能硬件開發(fā)商建立自己的運(yùn)營平臺(tái)，以保護(hù)消費(fèi)者的數(shù)據(jù)安全，及時(shí)發(fā)現(xiàn)并阻斷黑客的攻擊。最后，需要制定一套有效的應(yīng)急響應(yīng)預(yù)案，確保在安全漏洞出現(xiàn)后，能夠快速響應(yīng)，并最大程度降低用戶的損失。

　　說法

　　偷窺侵犯個(gè)人隱私算犯法

　　根據(jù)我國治安管理處罰法的相關(guān)規(guī)定，偷窺、偷拍、竊聽、散布他人隱私的，處5日以下拘留或者500元以下罰款；情節(jié)較重的，處5日以上10日以下拘留，可以并處500元以下罰款。如通過偷窺形式獲得的他人私密照片，并上傳到網(wǎng)絡(luò)平臺(tái)，或者出售獲利的，將涉嫌構(gòu)成刑事犯罪。另外，被侵權(quán)人有權(quán)向侵權(quán)人主張民事賠償責(zé)任。