Proč jsou chytré kamery pro útočníky tak lákavé
Domácí IP kamery jsou pro hackery atraktivní hlavně proto, že často fungují nepřetržitě, mají přístup k obrazu a zvuku z domácnosti a bývají připojené k internetu přes cloudovou službu. Bezpečnostní firmy dlouhodobě upozorňují, že velká část incidentů nevzniká sofistikovaným útokem, ale kombinací slabého hesla, zastaralého firmwaru a špatně nastaveného routeru. Jinými slovy: nejčastěji nepadne „kamera jako taková“, ale její účet, aplikace nebo domácí síť.
U levnějších modelů bývá problém i v tom, že výrobce vydává aktualizace jen omezenou dobu. Pokud kamera běží na starém firmwaru, může obsahovat známé zranitelnosti, které jsou dohledatelné v databázích typu NVD nebo CVE. V praxi to znamená, že útočník nemusí nic prolomit silou – často si jen najde zařízení, které už bylo v minulosti úspěšně napadeno jinde.
Začněte u výběru kamery a prvního nastavení
Bezpečnost začíná už při nákupu. Pokud vybíráte novou kameru, sledujte tři věci: pravidelné aktualizace firmwaru, podporu dvoufaktorového ověření a jasně popsané zabezpečení účtu. U renomovaných značek bývá v aplikaci vidět historie aktualizací a výrobce zveřejňuje bezpečnostní bulletiny. To je důležitější než rozdíl pár stovek korun v ceně.
- Vyhněte se kamerám bez podpory aktualizací. Pokud výrobce neuvádí, jak dlouho bude zařízení podporovat, je to varovný signál.
- Preferujte modely s lokálním ukládáním a šifrováním. Kamera nemusí posílat vše do cloudu, pokud to není nutné.
- Zkontrolujte, zda podporuje 2FA. Když někdo získá vaše heslo, bez druhého faktoru se do účtu nedostane.
Při prvním spuštění okamžitě změňte výchozí přihlašovací údaje. I v roce 2025 se stále objevují zařízení s továrními hesly typu admin/admin nebo s jednoduchým PINem, který uživatelé vůbec neupraví. Heslo by mělo mít minimálně 14 znaků, ideálně jako dlouhá fráze, například kombinace tří náhodných slov a číslic. Pro správu použijte správce hesel, například Bitwarden, 1Password nebo KeePass.
Zabezpečte účet, aplikaci i přístup z internetu
Největší slabinou bývá cloudový účet, ne kamera samotná. Pokud výrobce nabízí přístup přes mobilní aplikaci, zapněte dvoufaktorové ověření hned po registraci. Ideální je aplikace pro jednorázové kódy, například Google Authenticator, Microsoft Authenticator nebo Authy. SMS je lepší než nic, ale není tak odolná proti útokům jako TOTP nebo hardwarový klíč.
Další důležitý krok je vypnout vše, co nepotřebujete. Pokud kameru sledujete pouze doma, nepovolujte přístup z veřejného internetu přes otevřené porty na routeru. To znamená:
- nepoužívat port forwarding, pokud to není nezbytné;
- vypnout UPnP na routeru, protože umí automaticky otevírat porty bez vašeho vědomí;
- nepoužívat výchozí P2P režim, pokud kamera nabízí bezpečnější lokální přístup přes VPN;
- omezit vzdálený přístup jen na konkrétní účty a zařízení.
Pokud chcete přistupovat ke kameře mimo domov, bezpečnější je VPN tunel do domácí sítě, například přes WireGuard nebo router s podporou OpenVPN. Tím se ke kameře dostanete, jako byste byli doma, ale bez nutnosti vystavovat zařízení přímo internetu. V praxi jde o jeden z nejúčinnějších kroků proti automatizovaným útokům.
Domácí síť rozdělte na samostatné části
Jedna z nejlepších ochran je segmentace sítě. Kamera by neměla být ve stejné části sítě jako notebooky, mobilní telefony nebo pracovní zařízení. Pokud se útočník dostane do kamery, nechcete mu tím otevřít cestu k dalším zařízením v domácnosti. Na moderním routeru nebo firewallu vytvořte oddělenou IoT síť nebo VLAN.
Praktické nastavení může vypadat takto:
- Hlavní síť pro počítače, mobily a pracovní zařízení.
- IoT síť pro kamery, chytré zásuvky, žárovky a další zařízení.
- Oddělená pravidla firewallu, aby kamera nemohla komunikovat s ostatními zařízeními v domácnosti.
U routerů od značek jako Ubiquiti, TP-Link Omada, MikroTik nebo některých modelů ASUS lze síť segmentovat poměrně jednoduše. Pokud chcete víc kontroly, použijte router s OpenWrt nebo firewall typu pfSense či OPNsense. Pro běžnou domácnost stačí i dvě samostatné Wi-Fi sítě s odlišnými právy, pokud router neumí VLAN.
Aktualizace, firmware a pravidelná kontrola provozu
Aktualizace jsou u kamer zásadní, protože výrobci průběžně opravují chyby v autentizaci, šifrování i cloudové komunikaci. Ideální je zapnout automatické aktualizace, pokud je výrobce dělá spolehlivě. Pokud ne, nastavte si pravidelnou kontrolu jednou za měsíc. U zařízení, která používáte pro dohled nad domem, doporučuji kontrolovat firmware minimálně každých 30 dní.
Vedle aktualizací sledujte i síťový provoz. Pokud kamera posílá velké objemy dat v době, kdy ji nepoužíváte, nebo komunikuje s neznámými servery, je to důvod ke kontrole. Pomoci mohou nástroje jako:
- router logs v administraci routeru;
- Pi-hole nebo AdGuard Home pro přehled DNS dotazů;
- Wireshark pro detailní analýzu komunikace;
- GlassWire nebo podobné monitorovací nástroje na počítači v síti.
Pokud kamera umožňuje lokální export logů, ukládejte je při podezření na problém. Pomůže to i při reklamaci nebo při kontaktu s podporou výrobce. U pokročilejších systémů lze nastavit upozornění na nové přihlášení, změnu IP adresy nebo neobvyklý přenos dat.
Soukromí, fyzické umístění a co dělat, když máte podezření na kompromitaci
Bezpečnost není jen o heslech. Kamera by měla být umístěná tak, aby snímala jen to, co skutečně potřebujete. Zbytečně neumisťujte zařízení do ložnice, dětského pokoje nebo na místa, kde zachytí citlivé informace, dokumenty či obrazovky. Pokud kamera nabízí mechanickou clonu nebo fyzické vypnutí objektivu, používejte je při běžném domácím provozu, kdy monitoring nepotřebujete.
Když máte podezření, že kameru někdo sleduje nebo že se do ní dostal cizí uživatel, postupujte rychle:
- okamžitě změňte heslo k účtu i k zařízení;
- odhlaste všechna připojená zařízení v aplikaci;
- zkontrolujte seznam uživatelů a sdílených přístupů;
- aktualizujte firmware;
- proveďte tovární reset a znovu nastavte kameru od nuly;
- zkontrolujte router, zda nejsou otevřené porty nebo aktivní UPnP;
- při vážném podezření změňte i heslo k e-mailu, protože přes něj se často obnovuje přístup k účtu.
U domácí kamery platí jednoduché pravidlo: čím méně je vystavená internetu a čím méně lidí k ní má přístup, tím menší je riziko zneužití. Nejlepší ochranu obvykle nepřináší jedna „magická“ funkce, ale kombinace silného hesla, 2FA, oddělené sítě, aktualizací a lokálního přístupu přes VPN. Když tyto kroky nastavíte jednou správně, výrazně snížíte šanci, že se z kamery stane okno do vaší domácnosti pro někoho cizího.