防犯・監視用のウェブカメラがネットで丸見え

防犯・監視用のウェブカメラが、適切なセキュリティ対策がとられていないため、その3割がネット上で丸見えになっていたり、勝手に操作されたりしているそうです。本ページを公開してから10年あまりが経ちますが、いまも適切なセキュリティ対策が行われていないのは残念なことです。

讀賣新聞とトレンドマイクロによる調査（2015年3月）

2025年（令和7年）11月、日本国内の屋内・敷地内を映した3000ものライブ映像が外部から「のぞき見」可能な状態になっていることが、読売新聞とトレンドマイクロのによる調査で新たに判明しました。なかには、医療機関の治療室、住宅の居間や寝室など、本来は非公開とみられる映像が多数確認されました。大半はカメラ側の認証設定の不備が原因とみられ、メーカー側は利用者に設定の確認を呼びかけています。

朝日新聞による調査（2015年3月）

2015年（平成27年）3月に朝日新聞は、無作為に選んだ約125万のIPアドレスから、2163台のウェブカメラがネットに接続されていることを確認しました。その　35％にあたる769台が、パスワードを設定することによって第三者からのアクセスをブロックする対策をとっておらず、映像を見たり音声を聞いたりできたと報じています。

ウェブカメラが第三者に操作された可能性に気づいていた設置者もいました。勝手に動いて女性客の下半身からうなじまでを映し出したといいます。

国内最大手パナソニックでウェブカメラ事業を手がける担当者は、「パスワード設定の必要性が消費者に行き届いていなかった」と語っています。
キヤノンは、ホームページに「意図せぬ他者からのカメラへのアクセスを防ぐための注意事項」と題した情報を掲示。パスワードの設定や変更を呼びかけています。

ロシアのサイトが監視カメラをハッキング

2014年（平成26年）頃から、ロシアのサイト「Insecam」が、世界各地の監視カメラ約2万8000台について、現地の様子を大まかな座標付でストリーミング配信しています。わが国の約6000台が公開されており、2ちゃんねるなどで話題になっています。
Insecamは、初期設定のID・パスワードを使って、監視カメラの映像を横取りしているのです。

監視カメラ900台がクラウドサーバーにDDoS攻撃

ネットワークセキュリティ機器メーカー Incapsula によると、世界で約900台のネットワーク監視カメラがマルウェアに感染し、ボットネットを構成。感染したカメラは特定のサーバーに対し、合計で1秒間に20,000回もの HTTP Get リクエストを送信する DDoS 攻撃を引き起こしているそうです。

感染したネットワーク監視カメラの多くは、きちんと設定されず工場出荷時のまま使用されていました。
またIncapsula によると、今回の例では感染を広げるために Telnet/SSH を受け付ける同種の機器を検索するため、これらの設定をデフォルトから改めることで、機器の DDoS 攻撃への加担を防止できると呼びかけています。
もし管理者が適切な設定をしていれば、このような問題は発生しなかったと考えられる。ただし根本的には、見つかった脆弱性に対してメーカーがきちんとセキュリティパッチを提供し、さらにユーザーに対し正しい設定方法の告知を徹底する必要がありそうです。

CCTV Botnet In Our Own Back Yard：Incapsula blog，2015年10月21日より