Per anni abbiamo considerato le telecamere IP come semplici dispositivi di videosorveglianza. Oggi rappresentano qualcosa di molto diverso: sensori distribuiti, collegati a Internet e spesso protetti in modo insufficiente. Secondo un recente rapporto pubblicato dai servizi di intelligence olandesi AIVD e MIVD, attori riconducibili alla Russia hanno sfruttato l’accesso a telecamere connesse per raccogliere informazioni di interesse militare e logistico, confermando un’evoluzione che chi opera nella cybersecurity osserva da tempo.
“Le informazioni ottenute dall’attore statale russo attraverso operazioni di spionaggio informatico che prendono di mira le telecamere IP forniscono dati rilevanti di carattere militare, come le rotte di trasporto militare dell’UE e della NATO e le consegne di armi destinate all’Ucraina. L’attore statale russo utilizza software di riconoscimento delle immagini per individuare veicoli militari e il carico militare che trasportano. In alcuni casi, l’accesso alle telecamere IP ottenuto in Ucraina viene utilizzato per identificare la posizione del personale militare ucraino”, recita il rapporto.
E ancora: “I servizi di intelligence olandesi hanno accertato che il servizio russo utilizza l’accesso alle telecamere IP anche per acquisire informazioni di interesse militare nei Paesi dell’UE e della NATO, comprese informazioni non direttamente collegate alla guerra in Ucraina”. Ma quali sono i rischi per imprese e PA connessi alle telecamere IP?
Indice degli argomenti
Nel 2026 ogni dispositivo connesso può diventare strategico
La lezione più rilevante del rapporto è probabilmente un’altra: nel 2026 non esistono più dispositivi “troppo semplici” per essere considerati un obiettivo strategico. Ogni sistema connesso può diventare una fonte di informazioni operative, un sensore privilegiato per attività di intelligence o un punto di accesso verso infrastrutture più critiche. Considerare una telecamera esclusivamente come uno strumento di videosorveglianza significa ignorarne la natura di endpoint di rete, con potenziali implicazioni sulla sicurezza fisica, digitale e operativa.
Una telecamera compromessa non trasmette soltanto immagini: può fornire contesto, tempistiche, pattern comportamentali e informazioni utili a pianificare azioni successive. In uno scenario di conflitto ibrido, anche il più comune dispositivo IoT può diventare un elemento rilevante all’interno di un’operazione cyber.
Telecamere IP compromesse e intelligence militare
Il vero elemento di novità non è l’uso dell’intelligence tradizionale, ma l’estensione della superficie di intelligence a dispositivi quotidiani e apparentemente innocui. Una telecamera installata per sorvegliare un ingresso può diventare, se compromessa, un sensore strategico capace di fornire informazioni operative su movimenti, infrastrutture e attività militari.
Le telecamere non sono più semplici periferiche. Sono endpoint di rete, spesso esposti a Internet, con firmware complessi, servizi web integrati e credenziali che, troppo frequentemente, restano quelle impostate dal produttore.
Il valore operativo dell’osservazione fisica
Il rapporto descrive una campagna in cui sistemi di videosorveglianza installati in prossimità di infrastrutture sensibili sono stati utilizzati per ottenere una visione costante di aree considerate strategiche. L’obiettivo non era necessariamente compromettere l’intera rete dell’organizzazione, ma osservare movimenti, monitorare attività e raccogliere informazioni utili alla pianificazione operativa. È una differenza sostanziale: il valore dell’attacco non risiede sempre nell’accesso ai dati, ma nella possibilità di osservare ciò che accade nel mondo fisico.
Questo approccio conferma un cambiamento ormai evidente. Gli attaccanti non cercano esclusivamente server o database. Cercano qualsiasi dispositivo capace di produrre informazioni affidabili. Una telecamera che inquadra un deposito ferroviario, un porto, un impianto energetico o un centro logistico può rivelare orari, procedure operative, frequenza dei trasporti e livelli di attività senza dover violare alcun sistema gestionale.
Le vulnerabilità delle telecamere IP esposte a Internet
Dal punto di vista tecnico, le modalità con cui questi dispositivi possono essere compromessi sono note da anni. Firmware non aggiornati, password deboli, servizi amministrativi esposti direttamente su Internet, protocolli di gestione remota e configurazioni errate rappresentano ancora oggi le principali superfici di attacco. Non sempre è necessario sfruttare vulnerabilità sofisticate: spesso basta individuare dispositivi raggiungibili pubblicamente e verificare la presenza di credenziali predefinite o già compromesse in precedenti violazioni.
“Una volta identificata una telecamera IP, l’attore malevolo può tentare di ottenere accesso al dispositivo tramite Internet. Questo processo è spesso relativamente semplice, poiché molte telecamere IP connesse alla rete non dispongono di adeguate misure di sicurezza”, si legge nel rapporto. “Ad esempio, spesso utilizzano password predefinite, firmware obsoleti e configurazioni di fabbrica.”
L’analisi pubblicata dall’azienda di sicurezza Censys aggiunge un elemento particolarmente interessante. Attraverso la scansione continua dello spazio di indirizzamento IPv4, i ricercatori hanno evidenziato come migliaia di telecamere e videoregistratori digitali risultino ancora direttamente accessibili da Internet. In molti casi espongono interfacce web, servizi RTSP o protocolli di amministrazione remota che consentono a un attaccante di identificare rapidamente marca, modello, versione del firmware e potenziale esposizione a vulnerabilità già documentate.
Dalla scansione di Internet alla selezione degli obiettivi
Questo dimostra quanto sia cambiato il lavoro degli attaccanti. Non serve più partire da una singola organizzazione. È sufficiente analizzare Internet alla ricerca di dispositivi vulnerabili, classificarli automaticamente e selezionare quelli installati in posizioni strategiche. La geolocalizzazione, le immagini satellitari e le informazioni disponibili attraverso fonti aperte permettono poi di capire cosa quella telecamera stia osservando e quanto possa essere utile.
Il problema riguarda soprattutto le infrastrutture critiche, ma sarebbe un errore pensare che interessi soltanto governi e apparati militari. Aziende manifatturiere, operatori logistici, gestori di reti energetiche, aeroporti, porti e amministrazioni pubbliche utilizzano migliaia di dispositivi IoT che spesso vengono installati una sola volta e poi dimenticati. Nel frattempo continuano a funzionare per anni, accumulando vulnerabilità mai corrette.
C’è poi un aspetto che viene spesso sottovalutato. Una telecamera compromessa non rappresenta soltanto un rischio per la riservatezza delle immagini. Può diventare un punto di accesso alla rete aziendale se non è adeguatamente segmentata, oppure un nodo da utilizzare per movimenti laterali, attività di persistenza o ulteriori operazioni offensive. In altre parole, l’IoT non è più soltanto un problema di videosorveglianza. È un problema di sicurezza informatica.
Sicurezza IoT e obblighi di gestione del rischio
Le implicazioni sono particolarmente rilevanti anche nel contesto europeo. La direttiva NIS2 insiste sulla gestione del rischio lungo l’intero ciclo di vita degli asset digitali. Questo significa che telecamere, sensori, sistemi di controllo accessi e altri dispositivi connessi devono essere censiti, aggiornati, monitorati e inseriti nei normali processi di vulnerability management. Considerarli semplici apparecchiature operative significa lasciare scoperta una parte importante della superficie di attacco.
Dal punto di vista difensivo, le contromisure sono note ma richiedono disciplina. La prima consiste nell’individuare tutti i dispositivi realmente presenti in rete, perché molte organizzazioni non dispongono di un inventario completo degli asset IoT. Successivamente occorre verificare firmware, configurazioni, credenziali, esposizione verso Internet e segmentazione della rete, limitando al minimo indispensabile l’accesso remoto.
È altrettanto importante monitorare il comportamento dei dispositivi. Connessioni verso indirizzi IP inattesi, traffico anomalo, modifiche improvvise della configurazione o accessi amministrativi fuori orario possono rappresentare indicatori di compromissione. Questi eventi dovrebbero essere raccolti e analizzati dal SOC con la stessa attenzione riservata a server e workstation.
Partecipa alla community