ダーファ製監視カメラなど1万4500台以上が侵害被害、認証回避やP2P機能の悪用が判明

要点

• セキュリティ企業Hunt.ioの調査により、ダーファ（Dahua）製の監視カメラなど1万4530台以上のデバイスがサイバー攻撃で侵害されていたことが判明した。

• 攻撃は「Operation CameraSwarm」と名付けられ、認証情報の不正利用、過去の認証回避脆弱性、P2Pリレー機能の3つの経路が使われていた。

• 被害が確認された機器はウクライナやロシアに集中しており、一部の機器には不正なアカウントが永続的に設定されていた。

• 専門家や関係機関は、機器のファームウェアを最新版へ更新することや、不要なP2P機能を無効化することを呼びかけている。

• サイバーセキュリティ調査企業のHunt.ioは2026年8月19日、中国の監視カメラ大手ダーファ・テクノロジー（Dahua Technology）製のデバイス1万4530台以上がサイバー攻撃により侵害されていたとする調査結果を公表した。この攻撃活動は「Operation CameraSwarm」と名付けられており、2026年6月17日から7月22日にかけて行われていたという。攻撃者は一般的な認証情報の不正試行に加え、既知の脆弱性やネットワーク機器のP2P（端末間直接通信）接続機能を組み合わせて侵入を図っていたことが明らかになった。

流出データから明らかになった攻撃活動の実態

今回の攻撃活動の実態は、攻撃者が誤って公開状態にしていた407MBにおよぶ作業ディレクトリの解析から判明した。このデータには234のサブディレクトリにわたる2,616個のファイルが含まれており、使用された攻撃ツールや実行ログ、シェルの操作履歴、攻撃記録などが保存されていた。Hunt.ioの分析によると、侵害が確認されたデバイスの多くはウクライナおよびロシアの地域に集中していたという。

3つの攻撃経路と1万4500台超の内訳

Hunt.ioによると、確認された1万4530台以上の侵害デバイスは、主に3つの異なる経路を通じて被害に遭っていた。

• 認証情報の不正利用（Credential attacks）: 1万3229件の攻撃記録にわたり、1万2324件の一意なIPアドレスが対象となった。被害全体の大部分がこの手法によるものだった。
• 認証回避の脆弱性悪用: 過去に公表された2件の脆弱性を悪用して1,923台のカメラへ侵入し、機器内に永続的な不正アカウントが設定されていた。
• P2Pリレーの悪用: シリアル番号を指定する手法により、NAT（内部ネットワークのアドレスを変換する仕組み）の背後にある機器を含む283台のカメラへアクセスが行われていた。

悪用された過去の深刻な認証回避脆弱性

攻撃に悪用された脆弱性は、2021年に報告された「CVE-2021-33044」および「CVE-2021-33045」の2件だ。これらは悪意のあるデータパケットを送信することで、機器の正規な認証をすり抜けることができる欠陥である。脆弱性の深刻度を示すCVSS（共通脆弱性評価システム）スコアでは、ダーファ側が8.1と評価しているのに対し、米国の脆弱性データベース（NVD）では最高値に近い9.8の「緊急」として分類されている。

具体的には、CVE-2021-33044は認証時に「NetKeyboard」という特定のクライアント種別を指定することで発生し、CVE-2021-33045はループバックアドレス（127.0.0.1）を用いたログイン要求を悪用する仕組みとなっている。いずれも米サイバーセキュリティ・インフラセキュリティ庁（CISA）が管理する「悪用が確認された脆弱性カタログ（KEV）」に現在も掲載されている。

また、公開されている攻撃ツール「p2pwn」のリポジトリにおいても、ダーファ製品のシリアル番号を受け取り、これら2つの脆弱性の有無を検証してダミーアカウントを設定する機能が含まれていることが確認されている。

P2Pリレー機能の悪用とNAT越えのリスク

今回の攻撃で特に注目されているのが、P2Pリレー機能を介した侵入手法だ。P2P接続は、外部から直接アクセスできないNAT環境下の機器に対しても、クラウドサーバーを経由して通信トンネルを確立できる仕組みである。

セキュリティ調査機関のITRES Labsによると、2024年半ば以前のファームウェアを搭載した機器では、機器側で認証情報が検証される前に、有効なシリアル番号さえあればクラウド基盤「Easy4IP」を介してリレー経路を確立できてしまう仕様が存在していたという。公開されている検証コード「dh-p2p」でも、シリアル番号から機器を特定してトンネルを張る仕組みが実証されている。

なお、回収された攻撃者のツール内には、稼働中のシリアル番号のうち89.4%で認証なしにオープンチャネルが返されたとする記録が残されていた。ただしHunt.ioは、この数値は攻撃者側の記録に基づく主張であり、ダーファや公的なセキュリティ機関によって第三者検証されたものではないと説明している。

推奨される対策

影響を受けるダーファ製品のユーザーに対し、各機関は修正版ソフトウェアや最新ファームウェアを速やかに適用するよう促している。また、ITRES Labsは、外部からの遠隔アクセスを必要としない環境では機器のP2P機能を無効化することや、メーカーの公式ダウンロードサイトで最新のファームウェア状況を確認することを推奨している。