百万摄像头遭劫持：物联网DDoS攻击背后的黑色产业链
近期趋势
物联网设备数量持续攀升，尤其是网络摄像头、智能路由器和家用网关，成为攻击者最常利用的“跳板”。过去几年间，多起大规模DDoS攻击被溯源至被劫持的摄像头集群。值得关注的是，此类攻击不再局限于单一恶意软件家族，而是呈现出“自动化扫描—弱口令爆破—固件漏洞利用—植入僵尸网络”的链条化趋势。攻击流量峰值常达到每秒数百Gbps，甚至触碰Tbps量级，受害目标从游戏服务器扩展到云服务商、金融机构和关键基础设施。
行业背景
物联网摄像头市场长期以来以低价竞争为特点，厂商为缩短上市周期，普遍采用通用操作系统和第三方固件库，缺乏安全开发生命周期。许多产品出厂时保留默认管理员账户，或使用“admin/123456”、“root/888888”等常用弱口令。部分厂商停止维护后，设备长期暴露在网络上，无法获得补丁更新。同时，黑产通过暗网交易、Telegram频道、私密论坛等形式兜售“物联网僵尸网络搭建教程”和“设备扫描工具”，降低了攻击门槛。
- 攻击入口：弱口令（占比约70%以上）、未修补的远程代码执行漏洞、默认Telnet/SSH端口暴露。
- 恶意软件：Mirai变种、Gafgyt、Dark Nexus等持续迭代，具备自我传播、口令字典更新、多架构编译能力。
- 运营模式：攻击者租赁“僵尸网络算力”给下游买家，按攻击时长或流量大小收费，形成“DDoS即服务”产业链。
用户关注点
普通家庭用户和企业管理者最关心的三个问题：
- 我的摄像头是否已被劫持？ 常见迹象包括设备频繁掉线、指示灯异常闪烁、网络流量异常增大（可在路由器后台查看上行流量）。若固件版本长期未更新，或仍在使用出厂密码，风险等级较高。
- 被劫持后如何处置？ 立即断开网络连接，通过物理复位恢复出厂设置，然后修改强密码（至少12位，含大小写、数字及符号），并关闭远程管理端口（如80、23、8080）。定期检查设备厂商安全公告。
- 如何从选购环节降低风险？ 优先选择有安全认证（如CSA、IEC 62443相关标准）或定期发布固件的品牌；避免购买无安全更新承诺的“白牌”摄像头；安装时开启“访客网络”将其与核心办公/家庭网段隔离。
可能影响
百万数量级的摄像头被控制，其直接后果是网络基础设施承受巨大压力。具体影响包括：
- 服务中断：被攻击的目标站点或服务可能长时间不可用，导致企业营收损失、用户信任流失。
- 流量拥塞：大量伪造源IP的UDP/ICMP流量会占用骨干网带宽，影响同一区域其他正常用户访问。
- 司法与合规风险：企业若因设备被劫持而被溯源为攻击源，可能面临监管处罚或诉讼（如欧盟GDPR、国内网络安全法下的未履行安全义务）。
- 隐私泄露：攻击者在控制设备后往往同时开启音视频流窃取，用户生活或商业场景可能被暗网直播或敲诈。
对物联网产业而言，持续的安全事件会倒逼监管收紧——例如部分地区已要求智能摄像头出厂必须强制修改初始密码，并禁止开放明文Telnet。但合规成本的上升将淘汰一批低利润制造商。
后续观察
未来一段时期，物联网DDoS黑色产业链可能呈现以下演变方向：
- 目标行业扩展：从传统IT基础设施延伸到车联网设备、医疗物联网设备（如输液泵、监护仪），后者一旦被控，不仅是网络攻击，还可能涉及人身安全。
- 攻击手段升级：利用5G低延迟特性发起更精准的反射放大攻击；结合AI生成可变载荷以绕过签名检测。
- 厂商责任强化：各国监管机构或会引入“安全基线认证”，要求物联网设备在销售前通过强制性漏洞扫描和密码强度测试。消费者购买时也将会更多留意产品页是否标注“默认密码已随机生成”。
注：本文不构成具体安全建议，实际防护措施应结合自身设备型号和网络环境评估。任何商业数据或事件均为行业泛指，不特指某品牌或时间点。