Российская разведка: более 87 000 IP-камер с неправильными настройками ведут наблюдение за поставками оружия в Украину

Совместное заключение AIVD/MIVD (голландские разведывательные службы) от 10 июля 2026 года документирует кампанию России, которая использует IP-камеры, доступные в Интернете, для отслеживания конвоев с вооружением в Киев через ЕС и НАТО.

Факты

Совместное заявление, опубликованное 10 июля 2026 года AIVD (нидерландская гражданская разведка) и MIVD (военная разведка), документирует кампанию по шпионажу, приписываемую « как минимум одному российскому разведывательному ведомству » — без публичного указания конкретного подразделения ГРУ. Анализ компании Censys, опубликованный The Hacker News, оценивает количество уязвимых устройств в более чем 87 000 подключённых к интернету камер, версии ПО которых соответствуют известным уязвимостям (CVE), распределённых по странам ЕС, членам НАТО и Украине (в том числе более 4 000 уязвимых камер на Украине). Только в Нидерландах насчитали 45 386 уязвимых камер, из которых 1 992 работают с уязвимыми сервисами.

Упомянуты две основные уязвимости:

• CVE-2016-7407 — инструмент dropbearconvert в Dropbear SSH (импорт ключей) — 159 нидерландских хостов уязвимы.
• CVE-2021-39275 — выход за пределы буфера в Apache — 112 нидерландских хостов уязвимы.

Метод атаки не отличается изощрённостью: массовый сканинг, определение устройств по брендам, эксплуатация учётных данных по умолчанию, устаревших прошивок и заводских настроек. Цель — военная: определение маршрутов транспортировки, грузов оружия, направляемых в Киев, а также позиций украинских войск. На Украине власти сообщают, что перехваченные видеопотоки использовались для попыток ликвидации личного состава и уничтожения техники.

Что это говорит о реальной ситуации

Здесь нет ни одной 0-day уязвимости. Эксплуатируемые дыры существуют 10 и 5 лет соответственно. Это полезное напоминание: противник не нуждается в экзотических эксплойтах, когда значительная часть парка IoT работает на заводских настройках и доступна с первого же запроса Shodan. Урок не новый, но жестокий: любая камера, подключённая к интернету без настройки, с 2018 года и по сей день, становится датчиком для противника.

Что делать сейчас

Для любой организации, эксплуатирующей или распространяющей IP-видеонаблюдение (госучреждения, логистика, оборона, а также ритейл и недвижимость):

1. Провести аудит exposed устройств: использовать shodan search, censys search по публичным IP (services.software.vendor + services.software.version).
2. Убрать из интернета то, что не должно там быть: большинство скомпрометированных камер не должны были быть доступны извне. Разместить за VPN или аутентифицированным reverse proxy.
3. Сменить учётные данные по умолчанию (всё ещё и снова) и внедрить политику регулярной смены паролей.
4. Обновить прошивки: применить патчи Dropbear (>= 2016.75) и Apache для CVE-2021-39275.
5. Сегментировать сеть видеонаблюдения от корпоративной IT/OT сети, чтобы ограничить латеральное перемещение.

Первоисточники: совместное заявление AIVD/MIVD (через ncsc.nl) и отчёт Censys — это документы, которые стоит изучить, а не пресс-релизы.