Một chiến dịch có tên Operation CameraSwarm vừa "chứng minh" cho chúng ta thấy những thiết bị được mua về với mục đích để bảo vệ con người lại có thể trở thành công cụ nằm trong tay kẻ tấn công. Theo nghiên cứu của Hunt, hơn 14.530 thiết bị Dahua đã bị xâm nhập trong khoảng 35 ngày, từ 17/6 đến 22/7/2026. Phần lớn thiết bị bị phát hiện tại Nga và Ukraine.
Đương nhiên hacker không chỉ sử dụng một phương thức duy nhất. Khoảng 13.229 bản ghi liên quan đến các cuộc tấn công vào thông tin đăng nhập, trong khi 1.923 camera bị tiếp cận thông qua hai lỗ hổng bỏ qua xác thực CVE-2021-33044 và CVE-2021-33045, còn 283 thiết bị được tiếp cận thông qua cơ chế P2P. Hai lỗ hổng xác thực này đã tồn tại từ năm 2021 và hiện vẫn nằm trong danh mục các lỗ hổng bị khai thác của CISA.
Nhưng nếu chỉ nhìn đây là một vụ khai thác lỗ hổng camera thì có lẽ vẫn chưa thấy hết vấn đề. Camera IP ngày nay không còn là một thiết bị "đứng riêng một chỗ". Nó kết nối Internet, có tài khoản quản trị, có giao diện web, có dịch vụ P2P và đôi khi còn được kết nối với hệ thống lưu trữ, máy chủ hoặc các thiết bị khác. Một khi camera bị kiểm soát, hacker không chỉ có khả năng nhìn thấy những gì camera nhìn thấy mà còn có thể biến chính thiết bị này thành một điểm trung chuyển để tiếp tục thực hiện các hoạt động khác.
Đặc biệt, cơ chế P2P khiến câu chuyện phức tạp hơn. Công nghệ này vốn được thiết kế để giúp người dùng truy cập camera từ xa, kể cả khi thiết bị nằm sau NAT và không có địa chỉ IP công khai. Nhưng chính con đường kết nối thuận tiện đó cũng có thể trở thành một bề mặt tấn công nếu được thiết kế hoặc cấu hình không an toàn. Hunt.io cho biết trong chiến dịch này, 283 camera được xác định thông qua đường P2P; các nghiên cứu trước đó cũng từng chỉ ra khả năng thiết lập đường truyền tới thiết bị thông qua số serial trong một số phiên bản firmware cũ.
Đương nhiên hacker không chỉ sử dụng một phương thức duy nhất. Khoảng 13.229 bản ghi liên quan đến các cuộc tấn công vào thông tin đăng nhập, trong khi 1.923 camera bị tiếp cận thông qua hai lỗ hổng bỏ qua xác thực CVE-2021-33044 và CVE-2021-33045, còn 283 thiết bị được tiếp cận thông qua cơ chế P2P. Hai lỗ hổng xác thực này đã tồn tại từ năm 2021 và hiện vẫn nằm trong danh mục các lỗ hổng bị khai thác của CISA.
Nhưng nếu chỉ nhìn đây là một vụ khai thác lỗ hổng camera thì có lẽ vẫn chưa thấy hết vấn đề. Camera IP ngày nay không còn là một thiết bị "đứng riêng một chỗ". Nó kết nối Internet, có tài khoản quản trị, có giao diện web, có dịch vụ P2P và đôi khi còn được kết nối với hệ thống lưu trữ, máy chủ hoặc các thiết bị khác. Một khi camera bị kiểm soát, hacker không chỉ có khả năng nhìn thấy những gì camera nhìn thấy mà còn có thể biến chính thiết bị này thành một điểm trung chuyển để tiếp tục thực hiện các hoạt động khác.
Đặc biệt, cơ chế P2P khiến câu chuyện phức tạp hơn. Công nghệ này vốn được thiết kế để giúp người dùng truy cập camera từ xa, kể cả khi thiết bị nằm sau NAT và không có địa chỉ IP công khai. Nhưng chính con đường kết nối thuận tiện đó cũng có thể trở thành một bề mặt tấn công nếu được thiết kế hoặc cấu hình không an toàn. Hunt.io cho biết trong chiến dịch này, 283 camera được xác định thông qua đường P2P; các nghiên cứu trước đó cũng từng chỉ ra khả năng thiết lập đường truyền tới thiết bị thông qua số serial trong một số phiên bản firmware cũ.
Một chi tiết khác đáng chú ý là 1.923 camera được cấu hình thêm một tài khoản có khả năng duy trì quyền truy cập trong quá trình chiến dịch. Điều này cho thấy mục tiêu của hacker không đơn giản là "vào xem camera rồi đi" mà có dấu hiệu muốn duy trì quyền kiểm soát lâu hơn. Hunt cũng đánh giá với mức độ tin cậy vừa phải rằng một phần công cụ của nhóm tấn công có thể được thiết kế để chuyển quyền truy cập camera cho bên thứ ba. Tuy nhiên, những nhận định này vẫn là đánh giá của Hunt.io và chưa phải kết luận độc lập về danh tính hay mục đích cuối cùng của nhóm đứng sau.
Điều đáng lo không phải là con số 14.500 camera mà là cách chúng ta vẫn coi camera như một thiết bị "vô hại". Người dùng quan tâm đến độ phân giải, góc quay, khả năng nhìn ban đêm hay giá tiền, nhưng ít khi đặt câu hỏi: Camera này đang mở những dịch vụ nào? Dữ liệu đi về đâu? Firmware có được cập nhật không? Tài khoản quản trị có được bảo vệ bằng mật khẩu riêng hay không? Thiết bị có thực sự cần kết nối P2P và Internet hay không?
Với các hệ thống camera gia đình, cửa hàng hay doanh nghiệp, việc đầu tiên không phải là hoảng sợ mà là kiểm tra lại những thiết bị đang sử dụng. Cần cập nhật firmware từ nguồn chính thức, thay đổi tài khoản và mật khẩu mặc định, loại bỏ các tài khoản không cần thiết và tắt P2P nếu không sử dụng. Với doanh nghiệp, camera nên được đặt trong một mạng riêng, hạn chế khả năng truy cập sang các hệ thống quan trọng khác và kiểm soát chặt chẽ các kết nối đi ra Internet. Đây cũng là những khuyến nghị được các nhà nghiên cứu đưa ra sau chiến dịch.
Camera an ninh chỉ thực sự là thiết bị bảo vệ khi chính nó không trở thành điểm yếu của hệ thống. Nếu một thiết bị có thể nhìn thấy mọi thứ nhưng lại được bảo vệ bằng mật khẩu mặc định, firmware cũ hoặc một dịch vụ kết nối từ xa không cần thiết, thì chúng ta có thể đang trao cho hacker một "con mắt" đặt ngay bên trong nhà hoặc trong doanh nghiệp của mình.
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview
