Renseignement russe : plus de 87 000 caméras IP mal configurées espionnent les livraisons d'armes à l'Ukraine

Un avis conjoint AIVD/MIVD (services de renseignement néerlandais) daté du 10 juillet 2026 documente une campagne russe qui exploite des caméras IP exposées sur Internet pour suivre les convois d'armement vers Kyiv à travers l'UE et l'OTAN.

Les faits

Un avis conjoint publié le 10 juillet 2026 par l'AIVD (renseignement civil néerlandais) et le MIVD (renseignement militaire) documente une campagne d'espionnage attribuée à « au moins un service de renseignement russe » - sans nommer publiquement l'unité GRU concernée. L'analyse de l'entreprise Censys, reprise par The Hacker News, chiffre l'exposition à plus de 87 000 caméras connectées à Internet dont la version du service exécuté correspond à une CVE connue et exploitée, réparties dans l'UE, les États membres de l'OTAN et en Ukraine (dont plus de 4 000 caméras vulnérables en Ukraine). Aux Pays-Bas seuls, 45 386 caméras exposées sont dénombrées, dont 1 992 exécutent des services vulnérables.

Deux CVE sont citées comme leviers principaux :

• CVE-2016-7407 - outil dropbearconvert de Dropbear SSH (importation de clés) - 159 hôtes néerlandais flaggués.
• CVE-2021-39275 - écriture hors bornes dans Apache - 112 hôtes néerlandais flaggués.

Le mode opératoire décrit n'a rien de sophistiqué : scan de masse, fingerprinting par marque, exploitation de mots de passe par défaut, firmwares obsolètes et paramètres d'usine. La finalité est militaire : localisation des routes de transport, des cargaisons d'armes à destination de Kyiv, et des positions de troupes ukrainiennes. En Ukraine, les autorités indiquent que les flux vidéo captés ont été utilisés dans des tentatives d'élimination de personnel et de destruction de matériel.

Ce que ça dit du terrain

Aucune 0-day ici. Les vulnérabilités exploitées ont respectivement 10 ans et 5 ans. C'est un rappel utile : le renseignement adverse n'a pas besoin d'exploits exotiques quand une part significative du parc IoT tourne en configuration d'usine, joignable depuis le premier scan Shodan venu. La leçon n'est pas nouvelle mais elle est cruelle : chaque caméra sortie du carton, câblée derrière un routeur mal configuré et laissée telle quelle depuis 2018, devient un capteur pour l'adversaire.

À faire maintenant

Pour toute organisation qui exploite ou distribue de la vidéosurveillance IP (public, logistique, défense, mais aussi retail et immobilier) :

1. Auditer l'exposition Internet : shodan search, censys search sur vos IP publiques (services.software.vendor + services.software.version).
2. Retirer d'Internet ce qui n'a rien à y faire : la plupart des caméras compromises ne devaient pas y être exposées. Placer derrière un VPN ou un reverse proxy authentifié.
3. Changer les identifiants par défaut (encore et toujours) et forcer une politique de rotation.
4. Vérifier les firmwares : appliquer les patches Dropbear (>= 2016.75) et Apache pour CVE-2021-39275.
5. Segmenter le réseau vidéo du réseau IT/OT pour limiter le mouvement latéral.

Sources primaires : l'avis AIVD/MIVD (via ncsc.nl) et le rapport Censys sont les documents à consulter - pas la reprise presse.