黑客入侵15万个摄像头，偶然曝光特斯拉上海工厂实况

编者按：本文来自微信公众号“智东西”（ID:zhidxcom），作者：高 歌，编辑：心缘 ，36氪经授权发布。

智东西3月10日消息，一群黑客自曝入侵了美国硅谷初创公司Verkada采集的大量安全摄像机数据，并盗取了15万个监控摄像头实时视频。 

电动汽车公司特斯拉、软件供应商Cloudflare也纷纷躺枪，视频惨遭曝光。被盗视频覆盖了医院、诊所、公司、警察部门、监狱、学校、精神病院等各种场景。 

一段在特斯拉上海仓库的被泄露视频显示，工人们在装配线上工作。黑客号称已入侵特斯拉工厂和仓库的222个摄像头。 

黑客嘚瑟地表示，他们不仅能看到Verkada办公室内的视频，还能获取这家创企所有客户的完整视频档案、财务报表等其他信息。 

这未免令人感到不寒而栗，摄像头采集的视频是怎么被盗的？此次视频泄露的后果是什么？谁应该为这个泄露事件承担责任？ 

这些黑客既主动公布入侵“成果”，又接受外媒采访，究竟是出于什么目的？ 

我们身边越来越密布的摄像头，还能不能守住隐私这根底线？ 

01. 医院、监狱、办公室诸多视频遭泄露，15万视频被入侵

Verkada成立于2016年，主业是销售安全摄像头，客户可以通过网络对其进行访问和管理。去年1月，它获得8000万美元风险投资资金，估值达到16亿美元，红杉资本是其投资方之一。 

除了能录制视频外，其摄像头还能利用先进的AI视觉技术，分辨出视频中的人脸和车辆，并对其进行检测和人脸识别。 

由于Verkada的业务范畴非常广泛，此次黑客入侵风波中，许多不同类型机构的安全摄像头视频惨遭泄露。 

一段由哈利法克斯健康佛罗里达医院摄像头录的视频显示，8名医院工作人员抓住一名男子，将他按倒在床上。 

在另一家亚利桑那州的坦佩圣卢克医院，黑客们号称能通过摄像机，看到谁使用Verkada门禁控制卡打开某些门的详细记录。 

阿拉巴马州亨茨维尔市麦迪逊县监狱内的330个安全摄像头也被入侵。这些摄像头使用人脸识别技术追踪囚犯和惩教人员，其中不少隐藏在通风口、温度调节装置和除颤器内。 

此外，美国康涅狄格州纽敦市的桑迪·胡克小学、威德利地区医疗中心、德克萨斯州特克萨卡纳医院等多所机构的视频也遭泄露。 

黑客还可以访问豪华健身连锁店Equinox的多个位置，以及软件供应商Cloudflare在旧金山、奥斯丁、伦敦、纽约等办公室的Verkada摄像机。 

根据彭博社获取的影像，Cloudflare旧金山总部的摄像头依靠人脸识别技术。 

▲Verkada人脸识别技术展示（来源：Verkada）

据悉，黑客们能通过Verkada的管理员权限，访问实时与存档视频，这些视频可高达4K分辨率，有的还包括音频。 

02. 黑客主动爆料：入侵方法并不难

蒂莉·科特曼（Tillie Kottmann）自称是入侵Verkada网站的黑客之一，他说此次数据泄露由一个国际黑客组织实施，他们能够下载数千名Verkada客户的整个清单和资产负债表。 

此次入侵的主要目的有两点：展示人们被视频监控的范围有多广，以及系统有多容易被侵入。 

电子前沿基金会网络安全负责人伊娃·戈尔佩林（Eva Galperin）分析，有些公司在将安全摄像头放在比较敏感的地方时，可能没有想到这些视频，除了被自己的安全团队使用外，也能被摄像头厂商查看。 

戈尔佩林说，安全摄像头和人脸识别技术经常被用于公司办公室和工厂内部，以保护公司内部信息并防范相应威胁。 

这种内部监视需要得到员工的知情与同意，所以通常会写进员工手册里，但是很少有员工真的去翻阅员工手册。 

科特曼认为，本次黑客攻击“暴露了我们被监控的范围有多广”。 

据他透露，入侵Verkada摄像头的方法并不复杂，他们在互联网上发现了一个公开的管理员账户的用户名和密码，借此进入Verkada网络内部，从而可以窥视所有客户的摄像头。 

黑客组织还能获得摄像头的“root”权限，这意味着他们可以用摄像头执行自己的代码。 

这种访问权限的获得相当简单，甚至不需要额外发动黑客攻击，因为这就是Verkada的一项内置功能。 

而在某些情况下，该访问权限可以让他们访问、劫持更多的Verkada客户的网络与摄像头，并将其作为发动黑客攻击的平台。 

在科特曼看来，此次攻击体现了安全摄像头公司疏忽了对网络安全的投入，并暴露这些公司只追求利益的一面。 

03. Verkada回应：已禁用所有管理员权限

在彭博社联系Verkada之后，黑客已经失去了访问视频和档案的权限。 

Verkada发言人声明：“我们已禁用所有内部管理员帐户，以防止任何未经授权的访问。Verkada的内部安全团队和外聘的安全公司也正在调查这个事件，当前已经和执法部门取得了联系。” 

一位知情人士透露，Verkada正在调查这一事件，同时该公司已经通知客户泄露事件的发生，并建立了一条支持热线来解决泄露问题。 

对此，采用其安全摄像头的软件公司Cloudflare发表声明称，人脸识别是Verkada向客户提供的Beta测试版功能，但他们从未积极使用过，也没计划这么做。 

Cloudflare还提到，这些安全摄像头主要部署在公司的入口和主干道位置，他们已经将其关闭，并且切断了摄像头与办公室网络的连接。 

04. 结语：平衡应用落地与隐私保护已成AI发展焦点

在如火如荼发展的同时，以摄像头、智能终端等设备为载体的人工智能技术，因频发地隐私安全事故而不断被推至风口浪尖。 

信息泄露事件频频暴雷。例如在去年2月，美国拥有超30亿人脸数据的创企Clearview AI也被黑客攻击，致使整个客户名单被盗。 

暴露度极高的人脸，似乎越来越难以避开愈发密布的各路摄像头。而一旦人脸信息被不法分子窃取，不仅可能侵犯个人隐私、导致财产损失、涉及道德伦理问题，还有可能带来国家安全风险。隐私安全的防范已经成为掣肘人工智能应用普及的关键因素之一。 

这一背景下，相关标准和法制法规的健全已经刻不容缓，同时产学界正积极研发先进技术，作为防御算法漏洞、加强隐私保护的重要手段之一。 

来源：彭博社、The Verge