Egy kamerarendszer telepítése ma már nem nagy ügy: néhány kamera, egy rögzítő, egy hétvége, és kész. A legtöbb cégnél ezzel le is zárul a téma, a rögzítő beköltözik egy szekrény aljába, és évekig senki nem nyúl hozzá. Csakhogy amit felszereltek, az nem egy szemüveg a falon, hanem egy tucat kis számítógép a céges hálózaton – saját szoftverrel, saját jelszóval, saját internetkapcsolattal. És pontosan úgy is kell bánni vele.

2026 nyarán egyetlen támadói csoport több mint 14 ezer kamerát vett át világszerte egy egyszerű módszerrel: végigpróbálták a gyári és a leggyakoribb jelszavakat. Ahol ez nem ment, ott egy 2021 óta ismert, a gyártó által rég kijavított, de az eszközökre soha fel nem telepített hibát használtak. Nem célzott támadás volt, hanem aratás – és a feltört kamerák egy részére állandó rejtett fiókot is beállítottak, ami a gyári visszaállítást is túléli.

Az első hiba: a jelszó, ami a dobozon van

A telepítő beállítja a kamerákat, a rögzítőt, és a jelszó marad az, ami a gyors üzembe helyezéshez kellett: „admin”, „12345″, vagy a cég neve évszámmal. Néha még az is előfordul, hogy a jelszó egy matricán van a rögzítő oldalán. Innen két dolog következik. Az egyik, hogy aki egyszer belép, az minden kamerát lát, és a felvételeket törölni is tudja. A másik, hogy a kamerák többsége ugyanazt a jelszót használja, tehát egy feltört eszköz az összeset megnyitja.

Ugyanaz a szabály érvényes itt, mint amiről a jelszavakról és a kétfaktoros belépésről szóló cikkünkben írtunk: egyedi, hosszú jelszó minden eszközre, és külön felhasználó a rögzítőhöz annak, aki csak nézni akar, nem beállítani.

A második hiba: a kamera, ami kilát az internetre

A tulajdonos szeretné telefonról nézni a raktárt. Ez jogos igény, és a telepítő két módon oldja meg. Vagy megnyit egy portot a routeren közvetlenül a rögzítőre, vagy bekapcsolja a gyártó „felhős” (P2P) funkcióját, amivel a kamera maga építi ki a kapcsolatot a gyártó szerverén keresztül. Mindkettő működik – és mindkettő azt jelenti, hogy a kamera bárhonnan elérhető, nem csak a tulajdonos telefonjáról.

A nyitott port a rosszabb: erre a világ bármely pontjáról másodpercek alatt rátalálnak az automata keresők. A P2P-funkció kényelmesebb, de a 2026-os kampányban több száz kamerát pontosan ezen a csatornán keresztül értek el, tűzfal és címfordítás mögül is – egyetlen sorozatszám elég volt hozzá. A helyes megoldás ugyanaz, mint az otthoni munkánál: a távoli elérés VPN mögé kerül, a rögzítő pedig egyáltalán nem látszik az internet felől.

A harmadik hiba: minden egy hálózaton

A kamerák a legtöbb cégnél ugyanazon a hálózaton vannak, mint a könyvelő gépe, a szerver és a nyomtató. Ez azt jelenti, hogy ha egy kamera feltörhető – és mint láttuk, sok az -, onnan a támadó már belülről látja a teljes céges hálózatot. A kamera lesz a hátsó bejárat.

A kamerarendszer ezért külön hálózati szegmensbe (VLAN-ba) való: a kamerák csak a rögzítőt látják, a rögzítő csak azt, amit engedünk neki, és egyik sem éri el a szervert. Ez nem drága: egy közepes menedzselhető switch és a tűzfalon néhány szabály. Ugyanaz a hálózati alapmunka, ami a céges Wi-Fi-nél is elválasztja a vendégeket a belső hálózattól.

A negyedik hiba: a frissítés, ami sosem történik meg

Egy notebookot a Windows magától frissít. Egy kamerát senki. A gyártók rendszeresen adnak ki javított firmware-t – a 2026-os támadásban használt két hibához 2021 óta létezik javítás -, de ezt valakinek fel kell tennie az eszközre, egyesével. Ha a rendszerhez nem tartozik üzemeltetési szerződés, ez sosem történik meg, és a kamera a telepítés napján tudott állapotban öregszik évekig. A Nemzeti Kibervédelmi Intézet külön figyelmeztetést adott ki arról, hogy a sérülékeny kamerák felett teljes irányítás szerezhető.

Ökölszabály: évente legalább kétszer valaki nézze meg, van-e frissítés a kamerákhoz és a rögzítőhöz, és a nem használt funkciókat – P2P, UPnP, Telnet – kapcsolja ki.

Az ötödik hiba: a felvétel, amit senki nem nézett meg

Ez a legkellemetlenebb, mert csak akkor derül ki, amikor baj van. A rögzítő merevlemeze két éve megállt, a kamera képe fagyott, a felvétel csak három napra elég, vagy pont az a kamera nem rögzít, amelyik a bejáratot nézi. Egy kamerarendszer értéke egyetlen pillanatban dől el: amikor vissza kell nézni valamit. Ha akkor nincs felvétel, a rendszer nulla forintot ért.

Ide tartozik a tárolás mérete is: a jogszabály a személy- és vagyonvédelmi célú felvételeknél alapesetben 3 napos, indokolt esetben hosszabb megőrzést enged – a rögzítőt ehhez kell méretezni, és az adatkezelési tájékoztatóban ugyanezt kell leírni.

Tévhitek

„A kamera nem számítógép, azt nem lehet feltörni.” Minden IP-kamera egy kis Linux-alapú számítógép, webes felülettel és jelszóval – és a támadók pontosan ezért szeretik: sok van belőle, és senki nem figyeli.

„Kínai gyártó, ezért veszélyes.” A gond nem a gyártó származása, hanem az, hogy a javítás nem kerül fel az eszközre. Egy soha nem frissített európai márkájú kamera ugyanúgy sebezhető.

Összegzés

A kamerarendszert érdemes két szakma közös munkájának tekinteni: a biztonságtechnikus tudja, hova kell kamera és milyen, az informatikus pedig azt, hogyan kerüljön fel a hálózatra úgy, hogy ne váljon hátsó bejárattá. A jelszó, a távoli elérés, a hálózati elválasztás és a frissítés az utóbbi dolga – és ez a négy pont dönti el, hogy a kamera a céget védi, vagy a támadót segíti.

Ha szeretné tudni, mi a saját kockázata, kérjen IT auditot: abakusz.hu/itaudit