Ogni tanto esce la notizia: migliaia di telecamere domestiche visibili in rete, con tanto di elenchi consultabili. Fa impressione, ma quasi mai si tratta di attacchi sofisticati. Nella grande maggioranza dei casi l'ingresso è banale, e per questo si può chiudere.
Come entrano davvero
Password di fabbrica mai cambiata. Molte telecamere economiche escono con credenziali predefinite tipo admin/admin o admin/12345, identiche per tutti gli esemplari dello stesso modello. Esistono motori di ricerca che indicizzano dispositivi esposti su internet: trovare le telecamere di un certo modello e provare la password nota è un'operazione automatizzata.
Password riusata. L'account dell'app di gestione ha la stessa password che usi altrove. Quel "altrove" ha subito una violazione, e la coppia email-password viene provata ovunque.
Firmware mai aggiornato. Le vulnerabilità note dei dispositivi economici restano aperte per anni, perché nessuno aggiorna una telecamera.
Porte aperte sul router. Per vedere le immagini da fuori casa, molti aprono una porta sul router verso la telecamera. Da quel momento il dispositivo è raggiungibile da chiunque, in tutto il mondo.
Cloud del produttore poco serio. Con i marchi sconosciuti, spesso il flusso video passa da server di cui non si sa nulla, in Paesi di cui non si sa nulla.
Le regole per installarle bene
- Cambia subito la password del dispositivo, non solo quella dell'app. Sono due cose diverse e la prima viene quasi sempre dimenticata.
- Aggiorna il firmware alla prima accensione e attiva l'aggiornamento automatico se c'è.
- Non aprire porte sul router. Per l'accesso da remoto usa il servizio del produttore o, meglio ancora, una VPN verso casa. Se stai facendo "port forwarding" verso una telecamera, stai creando il problema.
- Attiva la verifica in due passaggi sull'account dell'app, se disponibile.
- Metti le telecamere sulla rete ospiti o su una VLAN separata: se una viene compromessa, non raggiunge il computer con i tuoi documenti.
- Scegli marchi seri che pubblichino un ciclo di aggiornamenti. Il risparmio di venti euro su una telecamera sconosciuta si paga in altri modi.
- Disattiva le funzioni che non usi: UPnP sul router, protocolli di accesso remoto integrati, microfono se non ti serve.
Dove puntarle: non è solo tecnica
Anche la telecamera più sicura del mondo è un problema se inquadra il posto sbagliato. Un paio di criteri:
- Evita camere da letto e bagni. Sembra ovvio, ma le telecamere "per controllare il cane" finiscono spesso lì.
- Non inquadrare suolo pubblico né le finestre o l'ingresso del vicino: oltre alla privacy altrui, in condominio è fonte di contenziosi. L'inquadratura deve limitarsi alla tua proprietà.
- Se la telecamera riprende una zona dove lavorano persone, in azienda entrano in gioco anche le norme sul controllo a distanza dei lavoratori: serve accordo sindacale o autorizzazione.
Segnali che qualcosa non va
- La telecamera si muove da sola se motorizzata, o l'altoparlante emette suoni.
- Nel registro accessi dell'app compaiono collegamenti da luoghi o orari che non riconosci.
- Il LED di attività è acceso quando nessuno sta guardando.
- Le impostazioni cambiano senza motivo o la password non funziona più.
- Traffico dati anomalo verso l'estero, se il router permette di vederlo.
Se hai il sospetto: scollega la telecamera, riportala alle impostazioni di fabbrica, aggiorna il firmware, cambia password del dispositivo e dell'account, e controlla che sul router non ci siano porte aperte verso di lei.
Un caso che vediamo spesso
Impianti installati anni fa con un DVR raggiungibile da internet tramite una porta aperta e la password originale. Funziona benissimo, quindi nessuno ci mette mano. Sono gli impianti più esposti in assoluto, perché il DVR vede tutte le telecamere e spesso ha anche accesso alla rete interna dell'ufficio.
Conclusione
La sicurezza di un impianto di videosorveglianza si gioca su cose noiose: password cambiata, firmware aggiornato, nessuna porta aperta sul router, rete separata. Non è complicato, ma va fatto al momento dell'installazione, perché dopo nessuno ci torna. Se hai un impianto vecchio e vuoi sapere se è raggiungibile da fuori, è una verifica che facciamo in poco tempo.