ロシア情報機関によるIPカメラ悪用、NATOやウクライナの軍事輸送ルート監視に利用

要点

• オランダの民間および軍事情報機関（AIVDとMIVD）が、ロシアによるセキュリティカメラの乗っ取りとスパイ活動について共同で警告した。

• ハッカー集団はインターネットに公開されたセキュリティカメラ（IPカメラ）に侵入し、ウクライナ向けの兵器輸送ルートや軍の配置を監視している。

• ウクライナ国内では、単なる監視にとどまらず、映像情報がウクライナ軍人や装備を標的にした直接的な攻撃に利用されている。

• 侵入の多くは、初期設定のまま変更されていないパスワードや、更新されていない古いファームウェアなど基本的な設定不備を悪用していた。

• セキュリティ企業Censysの分析によれば、欧州やウクライナには既知の脆弱性を抱えたネット接続カメラが数万台存在し、広大な侵入経路となっている。

• オランダの民間情報保安局（AIVD）および軍事情報保安局（MIVD）は2026年7月10日、共同でサイバーセキュリティアドバイザリ（セキュリティに関する公式の勧告書）を公開し、ロシアの情報機関がヨーロッパおよびウクライナ全域でインターネットに接続されたセキュリティカメラ（IPカメラ）を組織的にハッキングしていることを明らかにした。この監視活動は現在も継続中であり、ウクライナへの武器輸送や軍用物資の輸送ルート、軍の配置といった重要情報の窃取に利用されているという。

監視映像を直接的な軍事攻撃に転用

公開された勧告書によると、ロシアによるこのハッキング作戦は、単なる受動的な情報収集にとどまらない。特にウクライナ国内において、ハッキングされたカメラから得られた映像フィードは「ウクライナ軍人の無力化」や装備の破壊を試みるための標的特定情報として直接活用されている。防犯などの目的で道路脇や民間店舗に設置された一般的なカメラが、ロシア軍の攻撃を支援する偵察手段に変貌している実態が明らかになった。

また、このスパイ活動はウクライナ国内にとどまらず、EU（欧州連合）やNATO（北大西洋条約機構）の加盟国にも及んでいる。ロシアの情報機関はこれらの国々に設置されたセキュリティカメラを通じて、ウクライナへ向かう兵器の輸送経路やその他の軍事的なロジスティクス（物資の調達・供給網）に関する情報を収集していると報告されている。

ゼロデイ脆弱性を必要としない侵入手法

オランダの情報機関は、ロシア側が高度なサイバー攻撃技術を用いることなく、極めて単純な方法でカメラへの侵入を果たしていると指摘している。攻撃者はまずインターネット上をスキャンし、接続されているカメラのメーカーやブランドを特定（指紋のように特徴を判別する「フィンガープリント」と呼ばれる作業）する。

その後、管理者が購入時のまま変更していない初期設定（デフォルト）のパスワードを使用しているカメラや、長期間ファームウェア（機器を制御するための内蔵ソフトウェア）が更新されずに放置されているカメラに対して侵入を完了させている。今回の作戦において、修正パッチが提供される前の未公開の脆弱性を指す「ゼロデイ脆弱性」は悪用されていないという。

侵入した後は、画像認識ソフトウェアを導入して映像内の軍用車両やその積載貨物を自動で検出・検索しており、効率的に情報を蓄積するシステムが構築されていると説明している。

膨大に存在する「露出した」デバイス

インターネットスキャン専門のセキュリティ企業であるCensys（センシス）が実施した分析によれば、ハッキングのリスクに晒されているデバイスの数は膨大である。EU、NATO加盟国、およびウクライナにおいて、既知の脆弱性（過去に発見され対処法が分かっているソフトウェアの欠陥）を抱えたサービスを稼働させたままインターネットに接続されているカメラは、少なくとも8万7000台に上る。このうち、約4000台はウクライナ国内に位置している。

Censysの主任セキュリティ研究者であるマルタイン・フローテン（Martijn Grooten）氏は、「カメラがインターネットからアクセス可能な状態にあることと、実際にハッキングされることは同義ではない」と補足し、公開されているデバイスすべてが直ちに侵害されているわけではないことを強調している。

しかし、攻撃者はカメラそのもののバグだけでなく、同じシステム上で稼働する他のサービスから侵入してシステム全体の制御を奪う手法も用いる。Censysが調査したオランダの事例では、公開されている約4万5386台のカメラのうち、1992台が脆弱な関連サービスを実行していた。カメラ自体の脆弱性に絞り込んでも541台が該当している。

悪用が指摘される古い脆弱性

Censysが具体例として挙げた脆弱性には、かなり古い時期に修正されたものも含まれている。
一つは「CVE-2016-7407」で、これは軽量なSSHサーバー（暗号化された遠隔操作用ソフトウェア）であるDropbear（ドロップベア）の変換ツールにおけるバグである。2016年7月に修正されているものの、オランダ国内で159台のホストが依然としてこれを稼働させていた。
もう一つは「CVE-2021-39275」で、WebサーバーソフトであるApache（アパッチ）における境界外書き込み（許可された範囲外のメモリにデータを書き込んでしまうエラー）の脆弱性である。2021年に修正されているが、オランダ国内で112台のホストで同様のバージョンが動作したままであった。

これらは米国サイバーセキュリティ・インフラセキュリティ庁（CISA）が指定する、悪用済みの脆弱性をリスト化した「KEVカタログ」には登録されていないものの、Censysは実際の環境（野生）において悪用が確認されていると指摘している。

補足

オランダの情報機関は別の声明において、同国内で実際にロシアによる侵害が確認されたカメラは少数であり、それらは軍事輸送ルートに直面する場所に設置されていたと公表した。これらのカメラを運用していた組織にはすでに警告が行われ、セキュリティ対策が実施されたという。