Уязвимости умных камер и IoT-устройств: методы защиты в 2026 году

Масштаб проблемы: 30 млрд устройств под угрозой

К середине 2026 года количество подключённых IoT-устройств в мире превысило 30 миллиардов, из них более 2,5 миллиарда — видеокамеры и системы видеонаблюдения. Умные камеры стали неотъемлемой частью умных домов, офисов, производств и городской инфраструктуры. Однако каждый четвёртый производитель, по данным аналитиков Omdia, не выпускает обновлений прошивки спустя год после продажи устройства. Это превращает миллионы камер в «бомбы замедленного действия» для всей сетевой инфраструктуры.

В 2025–2026 годах исследователи безопасности зафиксировали рекордное количество атак, где умные камеры выступали не целью, а инструментом проникновения в корпоративные сети. Группировки Akira, HiatusRAT и JDY активно используют уязвимости IoT-устройств для развёртывания вредоносного ПО, кражи данных и организации ботнетов.

Типичные уязвимости умных камер в 2026 году

Устаревшие прошивки и прекращение поддержки

Главная проблема умных камер — производители прекращают выпуск обновлений спустя 1–2 года после релиза. В 2026 году эксперты Positive Technologies обнаружили, что 67% протестированных моделей IP-камер китайских и тайваньских вендоров не получали патчей более 18 месяцев. Устройства работают на версиях Linux 3.x и 4.x с известными уязвимостями, для которых уже существуют публичные эксплойты.

Учётные данные по умолчанию и слабая аутентификация

Исследование 2026 года показало: 42% умных камер поставляются с одинаковыми учётными данными admin/admin для всех устройств одной модели. Пользователи, не меняющие пароль, оставляют устройство открытым для атак. Сканеры Shodan и Censys ежедневно находят более 500 000 IP-камер с доступом по HTTP без аутентификации.

Уязвимости сетевых протоколов

В январе 2026 года была раскрыта критическая уязвимость CVE-2026-24061 в telnetd-сервере GNU InetUtils, присутствовавшая в коде 11 лет. Уязвимость позволяет выполнить обход аутентификации и получить root-доступ на любом устройстве с включённым Telnet. Эксплойт тривиален в использовании. Поскольку множество IoT-камер всё ещё используют Telnet для удалённого управления, CVE-2026-24061 затронула миллионы устройств по всему миру.

Незащищённые API облачных платформ

Современные умные камеры полагаются на облачные платформы для хранения и трансляции видео. В 2025–2026 годах исследователи неоднократно находили уязвимости в API таких платформ: недостаточная аутентификация запросов, отсутствие rate limiting и инъекции. Через скомпрометированный облачный аккаунт злоумышленники могут получить доступ к тысячам камер одновременно.

Реальные кейсы атак на IoT-камеры в 2025–2026

Akira: шифрование сети через веб-камеру

В марте 2025 года группировка Akira продемонстрировала принципиально новую тактику: не сумев запустить шифровальщик на Windows-системах из-за блокировки EDR, злоумышленники нашли в сети незащищённую IP-камеру, скомпрометировали её через стандартный пароль, скопировали на неё исполняемый файл шифровальщика и запустили шифрование прямо с камеры. EDR на рабочих станциях не обнаружил угрозы, поскольку процесс выполнялся на устройстве вне его мониторинга. Атака затронула более 200 серверов до того, как была обнаружена.

HiatusRAT: ботнет из DVR и камер

В декабре 2024 года ФБР предупредило о новой кампании HiatusRAT — вредоносного ПО, которое сканирует уязвимые веб-камеры и видеорегистраторы (DVR), заражает их и использует как точки входа в корпоративные сети. HiatusRAT позволяет злоумышленникам собирать данные, перемещаться латерально и развёртывать дополнительное вредоносное ПО. Особенность кампании — атаки не прекратились в 2025–2026 годах, а наоборот, набрали обороты.

JDY Botnet: китайская кибершпионаж

В июне 2026 года исследователи зафиксировали расширение ботнета JDY, связанного с китайскими группировками Volt Typhoon. JDY теперь нацеливается на IoT-камеры военных баз, аэропортов и объектов критической инфраструктуры. Ботнет использует комбинацию из 30+ известных уязвимостей IoT-устройств, включая те, что были исправлены ещё в 2023 году — показатель того, как медленно обновляется парк промышленных камер.

Кампания по эксплуатации CVE-2026-24061

Координированная кампания с использованием критической уязвимости GNU InetUtils telnetd (CVE-2026-24061) была зафиксирована в январе 2026 года. Уязвимость, присутствовавшая в коде 11 лет, позволяла удалённо получить root-доступ на устройствах с включённым Telnet. Кампания носила массированный характер: сканирование интернета, автоматическая эксплуатация и установка постоянного доступа через зашифрованные бэкдоры. Затронуты тысячи IoT-устройств, включая камеры, маршрутизаторы и промышленные контроллеры.

Проблема известна — решение существует. Современные методы защиты позволяют снизить риск компрометации IoT-камер на 80–90% без значительных бюджетов. Системный подход из сочетания технических, сетевых и организационных мер превращает камеру из «двери для хакера» в безопасный элемент инфраструктуры. Ниже — проверенные практики, которые можно внедрять поэтапно.

Методы защиты умных камер и IoT-устройств

Защита умных камер требует комплексного подхода, сочетающего технические меры на уровне устройства, сети и процессов управления. Ниже приведён чек-лист практических рекомендаций.

На уровне устройства

• Смена учётных данных по умолчанию — создайте уникальный пароль для каждой камеры, используйте менеджер паролей
• Обновление прошивки — проверяйте наличие обновлений на сайте производителя ежемесячно. Если устройство не получало патчей более года — рассмотрите замену
• Отключение неиспользуемых сервисов — отключите Telnet, UPnP, P2P-функции, если они не нужны. Используйте SSH вместо Telnet
• Изолированный VLAN для IoT — выделите все умные устройства в отдельную виртуальную сеть (VLAN), изолированную от рабочих станций и серверов

На уровне сети

• Сегментация сети — создайте отдельную подсеть для IoT-устройств с запретом доступа к корпоративным сегментам
• Мониторинг трафика — используйте системы анализа сетевого трафика (IDS/IPS) для выявления аномалий: нехарактерные соединения, передача данных в необычное время суток
• Блокировка прямого доступа из интернета — не открывайте порты камер наружу без необходимости. Используйте VPN для удалённого доступа
• Фильтрация по MAC-адресам — ограничьте, какие устройства могут подключаться к сети камер

Организационные меры

• Инвентаризация IoT-устройств — ведите учёт всех подключённых камер с указанием модели, прошивки, даты последнего обновления
• Политика обновлений — закрепите срок поддержки устройств в политике безопасности. Устройства с истёкшей поддержкой подлежат замене
• План реагирования на инциденты — включите IoT-устройства в сценарии реагирования. Атака через камеру должна отрабатываться как один из векторов
• Аудит безопасности — регулярно проверяйте камеры на наличие известных CVE через сканеры уязвимостей (Nessus, OpenVAS)

Чек-лист безопасности умной камеры

Выводы

Умные камеры перестали быть просто «периферийными» устройствами — сегодня это полноценные точки входа в корпоративную сеть, которые активно эксплуатируются злоумышленниками. Тренд 2025–2026 годов показывает, что атаки через IoT-камеры становятся излюбленным вектором для шифровальщиков, ботнетов и APT-группировок.

Ключевой вывод: безопасность IoT-устройств нельзя делегировать производителю. Организации обязаны самостоятельно управлять жизненным циклом камер, своевременно обновлять прошивки, сегментировать сети и мониторить трафик. Без этих мер каждая умная камера — потенциальный плацдарм для атаки на всю инфраструктуру. Начните с малого: смените пароль на камере уже сегодня, а завтра составьте план инвентаризации всех IoT-устройств в сети. Каждый шаг снижает поверхность атаки.

📚 Читайте также

• DNS-туннелирование: как злоумышленники прячут трафик в DNS-запросах и как это выявить
• Моделирование угроз в корпоративной среде: от ручного анализа до ИИ-агентов
• Управление зависимостями в 2026: SCA и SBOM для поиска уязвимостей в библиотеках
• Российские квантовые процессоры 2026: обзор разработок и перспективы внедрения
• Регулирование ИИ в России: законопроекты 2026 года и защита персональных данных

📖 Термины

Ransomware · XDR · Zero Trust · Интернет вещей (IoT) · КИИ

🔗 Источники

• China-linked JDY botnet expands targeting of U.S. military networks
• FBI spots HiatusRAT malware attacks targeting web cameras, DVRs
• Hackers exploit critical telnetd auth bypass flaw to get root (CVE-2026-24061)
• IoT Security Report 2026 — IoT Security Foundation
• Ransomware gang encrypted network from a webcam to bypass EDR