会社の防犯カメラ・録画機が乗っ取られないために ― 値段より先に確かめたい4つ

いま映っているその映像、あとで巻き戻して見られますか。

私は映画やドラマが好きで、刑事ものもよく見ます。刑事が「その時間の映像を見せてください」と言うと、たいていモニターに映像が出てきます。でもあの場面が成り立つのは、録画が残っているからです。脚本家が録画を消してしまえば、名刑事でも手詰まり。画面に映っていることと、録画が残っていることは別の話で、それぞれ確かめる必要があります。

「安いカメラでも大丈夫？」と聞かれたら、値段だけでは答えられません。値段より先に確かめたいことが4つあります。ただし、4つとも問題がなくても、いま乗っ取られていないことの証明にはなりません。心配なときは、診断を頼んでください。工事の現場で見てきたことは、記事の後半に代表の言葉で載せています。

01起きたこと

サポートが終わったカメラは買い替えの検討を、と国の調査 NOTICE が案内しています

カメラが乗っ取られると、映像を見られるだけでは済まないことがあります。

• 2023年1月、国土交通省の河川のネットワークカメラで大量の通信が起き、337台の運用を止めて、すべての機器を交換しました。
• NICT（情報通信研究機構）は、学校の防犯システムや保育所の見守りカメラで、マルウェアに感染した疑いのある通信を観測しています。どちらも、第三者から映像を見られる状態になっていました。
• NICT の2025年の観測でも、家庭用ルーターや監視カメラの録画機のように、感染しても使う人が気づきにくい機器が狙われ続けています。NICT の用語の説明によると、Mirai というマルウェアに感染した機器は、ほかへの攻撃の踏み台に使われます。

NOTICE は、総務省や NICT などの取り組みです。インターネットにつながった機器を調べ、危ない設定の機器が見つかると、持ち主に注意を呼びかけます。2024年4月からは、パスワードの調査に加えて、ルーターやネットワークカメラのソフトウェアの弱点への対処にも広げています。

メーカーのサポートが終わったネットワークカメラについて、NOTICE の「安全な管理方法」の頁はこう書いています。

「新たなファームウェアが提供されません。」

ファームウェアは、カメラなどの機器の中で動いているソフトです。サポートが終わると、新しい弱点が見つかっても直してもらえません。メーカーから弱点の情報が出てこない場合もあります。そこで NOTICE は、サポート期間をメーカーのサイトで確かめ、終わっていたら買い替えを検討するよう案内しています。

NOTICE の観測では、2026年8月時点で、推測されやすい ID・パスワードのままの機器が月に13,708件、ファームウェアに危険度の高い弱点がある機器が月に2,151件見つかっています。どちらもカメラだけでなく、インターネットにつながった機器全体の数です。

02どう考えるか

値段より先に見るのは、画面の外の4つ

ここからは、公的な資料をもとに私が考えたことです。安いカメラほど壊れやすいのか、危ないのか。それを示す公的な資料は、今回の調べでは見つかりませんでした。そこで値段の話は後半の代表の枠に任せ、ここでは値段に関係なく確かめたい4つを順に見ていきます。

1. 更新とサポートの期限：直してもらえる期間を見る

公的な案内が気にしているのは、映像がまだ映るかどうかではなく、弱点が見つかったときに直してもらえるかどうかです。IPA（情報処理推進機構）も、サポートが終わった IoT 製品は弱点が直されないまま残り続ける、と説明しています。本体の保証期間と、修理やセキュリティ更新を受けられる期間は、同じとは限りません。保証の年数から更新の期限を推し量らず、どちらもメーカーの告知で確かめてください。

2. パスワード：共通の初期パスワードを使い続けない

IPA は2016年に、ネットワークカメラやルーターは使う前に初期設定のパスワードを変えるよう呼びかけています。いまの機器には、1台ごとに決められた複雑な初期パスワードが付いているものもあります。その場合は変えなくてよい、と NOTICE は説明しています。確かめたいのは、製品で共通の、推測されやすいパスワードのまま使っていないかです。そうなっていたら、説明書に沿って設定し直すのがいちばん早い道です。

3. 外から見る仕組みと UPnP：外から誰が見られるか

外出先からスマホで見られるカメラは便利です。つなぎ方には、メーカーなどのサーバを中継するものや、会社や店のルーターの設定を変えて外から直接つなぐものがあります。便利さはそのまま生かして、確かめたいのは3つです。どの仕組みでつながっているか。誰が見られるか。いつまで更新されるか。

ルーターの UPnP は、社内の機器が自分でルーターの設定を変えて、外から直接つながるようにできる機能です。JPCERT/CC（一般社団法人 JPCERT コーディネーションセンター）は、使わないなら無効にするようすすめています。警察庁も、必要がなければ無効にするよう呼びかけています。どちらも、使わない場合に限った話です。

ブラウザで開くカメラの管理画面にも、連載1本目の A2B 攻撃と同じ考え方が当てはまります。総務省は A2B 攻撃について、アプリ側の制御だけに頼らず、サーバ側で適切な認証・認可を行うことが重要だとしていました。カメラに当てはめると、大事なのは、要求を受けたカメラやサービスの側が、相手が誰かを確かめ、その相手に映像を見せたり設定を変えさせたりしてよいかを判断していることです。ただ、カメラやサービスの側でそれができているかは、使う側からは見えません。なので、誰が映像を見られて、誰が設定を変えられるかを、業者に聞いておきます。実際に悪用されたカメラの弱点として、米国の政府機関 CISA の一覧には、認証の不備を突いて悪意のある攻撃者が本来より強い権限を手に入れ、カメラの中の大事な情報を見られてしまうものが載っています。

つなぐのが手軽でも、それだけでは安全かどうか分かりません。使うカメラやサービスについて、更新が続くかどうかと、どの会社の仕組みでつながっているかを知っておきましょう。

4. 録画が残っているか：映っていることと、残っていることは別

録画をためる SD カードには、書き込みの速さの条件があります。SD カードの規格団体によると、動画の録画には、途切れずに書き込み続けられる速さが必要です。速さが足りないと、コマ落ちが起きることがあります。また、SD カードは書き込める回数にも限りがあります。長く使うと書き込みに失敗したり壊れたりすることがある、とカメラメーカーの技術資料にも書かれています。

ライブの映像が映っているかは、画面を見ればすぐ分かります。録画が残っているかは、巻き戻して再生してみないと分かりません。

冒頭の刑事ドラマの場面を現実で成り立たせるのは、この4つです。そして4つとも、映像が映っているだけでは、大丈夫かどうかが分かりません。設定を開いたり録画を再生したりして、こちらから確かめに行って初めて分かります。

03明日確かめること

更新・パスワード・外から見る設定・録画を、業者と確かめる

1. 更新の期限と、いまの更新の状態、パスワードを確かめる。
   まず、カメラと録画機の型番を控えます。サポートとセキュリティ更新がいつまで続くかは、メーカーのサイトの告知で見るか、付けた業者や保守している業者に聞きます。NOTICE も、サポート期間はメーカーのサイトで確かめるよう案内しています。終わっていたら、買い替えを検討する時期です。期限内でも、いまのファームウェアが最新か、自動で更新する設定になっているかを、あわせて聞いてください。製品で共通の初期パスワードのまま使っていないかも、説明書に沿って確かめます。パスワードを変えたら、録画と映像がまだ見られるかを試します。
2. 外から直接つながる設定になっていないかを確かめる。
   まず、外からカメラを見る必要があるかを決めます。要らなければ、カメラの外部公開の設定を止める方法を、付けた業者と確かめます。必要なら、どの仕組みでつながっていて、誰が見られるかを、付けた業者に聞いておきます。ルーターの UPnP を切るときは、先に確かめることがあります。UPnP は、カメラ以外の機器やサービス（外出先から社内のファイルを開く仕組みなど）も使っていることがあるからです。ルーターを管理している業者にも聞いて、使っていないと分かってから切ってください。変える前の設定は控えておき、変えた後に、録画や通知、社内のファイルなど、同じ回線で使っているものがまだ動くかをその場で確かめます。
3. 録画が本当に残っているかを、巻き戻して確かめる。
   必要な時間帯が残っているか、途中で途切れていないか、日時が合っているか、必要な場面を書き出せるか。私たちは、月に1回を目安に確かめることをおすすめしています（これは FlexGear の提案で、国が決めた頻度ではありません）。

心配なときに、FlexGear ができること

すでに乗っ取られている場合は、4つを確かめて設定を直しても、解決しないことがあります。NOTICE も同じことを書いています。気になるときは、ネットワーク診断（GHOST-SCAN）で、カメラの設定もまとめて診ます。カメラの入れ替えや設定の見直しは、防犯カメラの設置と保守のサービスで承ります。

カメラを、安全に使おう。値段の話の前に、まずは今あるカメラの録画を、一度巻き戻してみてください。

録画機が狙われる理由は、VPN 機器やテレビにつなぐ動画の機器と同じ所にあります。3つを並べて読んだ話は、号外「AI で穴を探す攻撃が始まった」にまとめました。

書いた人のひとこと

防犯カメラと聞くと、つい刑事ドラマのあの場面を思い浮かべてしまう。でも今回調べてみて身にしみたのは、現実のカメラには監督がいない、ということでした。付けたあと誰も見ていないカメラは、録画が途切れていても、誰も気づかない。俺の書くものには、毎回目を通してくれる人がいます。カメラにも、そういう人がいていい。だから値段の話の前に、俺から一つだけ聞かせてください。最後に巻き戻したのは、いつですか。

この連載について

この連載は、電気通信工事の FlexGear（フレックスギア）の AI 秘書室・メディアチームが、隔週でお届けしています。国や公的機関が出した注意喚起を原文で読み、小さな会社が明日確かめられることに置き直しています。