In het kort
Een overgenomen camera geeft meestal geen enkel teken. De aanval is geen persoon die meekijkt, maar een scanner die het hele internet afgaat en bij duizenden camera’s tegelijk een standaardwachtwoord probeert. Wat je ziet is beeld, wat je niet ziet is dat iemand anders hetzelfde beeld ziet. De betrouwbare controle zit daarom niet in de camera maar in je netwerk, je camera-account en de logboeken daarvan. In dit artikel staat eerst hoe een camera überhaupt gevonden wordt, dan de negen signalen die er wel zijn, de controle van tien minuten, de vier routes waarlangs het misgaat, en wat je doet als het al gebeurd is. Inclusief het juridische deel, want daar gaat het bij camera’s vaak mis.
Wat er technisch gebeurt bij een camera
Een IP-camera is geen toestel, het is een klein computersysteem met een lens. Er zit een processor in, een stuk of wat honderd megabyte firmware, een webserver die je via je browser kan bereiken, en vaak een rtsp-stream waarop het beeld binnen je netwerk te bekijken is. Diezelfde eigenschappen die hem bruikbaar maken, maken hem interessant voor iemand anders.
De keten bestaat uit drie lagen, en elke laag heeft zijn eigen zwakke plek.
Het apparaat zelf. Fabriekswachtwoorden, firmware die nooit meer een update krijgt, een webinterface met een oude library erin, en functies die niemand gebruikt maar wel aanstaan, zoals telnet, ftp of een debug-poort.
Het netwerk. De router die met UPnP een poort openzet zodat de app van buiten werkt, zonder dat iemand dat heeft besloten. Of iemand die bewust een port forward maakt omdat hij “het beeld ook op kantoor wil zien”. Zodra dat openstaat, is de camera geen intern apparaat meer maar een dienst op het internet.
De cloud en de app. De fabrikant die je camera aan een P2P-netwerk hangt zodat je zonder configuratie van buiten kan kijken. Handig, en het betekent dat de beveiliging van duizenden camera’s afhangt van één accountmodel bij één leverancier. Als daar iets misgaat, gaat het bij iedereen mis.
Dat drieluik verklaart waarom het probleem zo hardnekkig is. Je kan een camera perfect instellen en hem alsnog via de cloud van de fabrikant blootgeven.
Hoe je camera gevonden wordt
Niemand zoekt jou. Dat is het eerste dat je moet begrijpen, want het haalt de angel uit de meeste angst.
Scanners lopen adresreeksen af en kijken welke poorten antwoorden. Wat antwoordt, wordt vastgelegd. Er zijn publieke zoekmachines die dat werk voor iedereen doen: Shodan indexeert aangesloten apparaten, en sites als Insecam zetten camera’s die zonder wachtwoord bereikbaar zijn in een galerij. Insecam zegt er zelf bij dat er niets gehackt is en niets geforceerd, alleen geïndexeerd: het aantal liep bij de start al in de tienduizenden camera’s uit meer dan honderdvijftig landen.
Daarna gaat het automatisch. Bij een bereikbare camera worden een paar honderd bekende combinaties geprobeerd, en bij een camera die nog op admin met admin staat is dat genoeg. Lukt dat niet, dan is er altijd nog de lijst met wachtwoorden uit datalekken: dezelfde adressen en wachtwoorden die mensen bij hun mail gebruiken.
Dat is ook de reden dat de schaal zo groot kan zijn. Bij de inbraak bij camera leverancier Verkada in maart 2021 ging het niet om duizenden losse camera’s maar om een beheerserver die van buiten bereikbaar was, en daarmee om toegang tot ongeveer honderdvijftigduizend camera’s in ziekenhuizen, gevangenissen en scholen. Eén verkeerd geconfigureerd systeem, en het probleem is niet meer van één klant.
Voor jou betekent dat twee dingen. Je bent geen doelwit, je bent een nummer in een scan. En de maatregelen die helpen zijn niet ingewikkeld, ze zijn alleen saai.
Waarom je het vaak niet merkt
De camera doet gewoon zijn werk. De app laat beeld zien, de verbinding blijft stabiel, de opnames staan er. Er is geen moment waarop iets hapert.
De aanvaller heeft er ook geen belang bij dat je iets merkt. Wie meekijkt, wil niet opvallen. Wie de camera in een botnet hangt, wil hem zo lang mogelijk stil laten doorwerken. En wie hem doorverkoopt als toegang, verkoopt een dienst die alleen iets waard is zolang de eigenaar niets doorheeft.
Wat dat betekent voor de praktijk: signalen zijn een sterke aanwijzing dat er iets mis is, maar het ontbreken van signalen is geen bewijs dat alles goed gaat. De enige betrouwbare uitspraak komt uit je administratie: wie heeft er toegang, welke poorten staan open, en wat staat er in de logboeken.
De negen signalen die er wel zijn
| Signaal | Wat het waarschijnlijk betekent | Hoe je het controleert |
|---|---|---|
| De lens beweegt of stelt scherp zonder dat jij iets doet | Iemand bedient de pan-tilt-zoomfunctie, of het apparaat herstart | Kijk in de app wie er op dat moment keek |
| Geluid uit de speaker, klikken of zachte stemmen | De audiofunctie wordt op afstand gebruikt | Zet audio uit als je hem niet gebruikt, controleer de sessielijst |
| Het lampje staat anders dan normaal | Er wordt gestreamd, of de firmware is vervangen | Vergelijk met de handleiding, check de firmwareversie |
| Onbekend account in de camera-app | Iemand heeft zich met jouw gegevens toegang gegeven | Loop gebruikers, gezinsleden en gedeelde toegang door |
| Nieuwe cloudkoppeling die jij niet aanzette | De camera is aan een andere dienst gehangen | Kijk bij koppelingen naar Alexa, Google of een tweede app |
| Onbekende apparaten in je router | Er zit iets op je netwerk dat er niet hoort | Vergelijk de clientlijst met je eigen apparaten |
| Opvallend veel uploads in de nacht | Beeld wordt doorgestuurd | Bekijk het dataverbruik per apparaat in de router |
| Inlogpogingen in de camera of de NVR | Er wordt geraden of geprobeerd | Zoek in de logboeken op mislukte aanmeldingen |
| Je wachtwoord staat in een datalek | Het is bruikbaar bij je camera als je het hergebruikte | Zoek je mailadres op in een lekcontrole |
Wat opvalt aan die lijst: bijna elk signaal is een signaal over toegang, niet over het apparaat. De camera vertelt je niets, de administratie eromheen vertelt je alles.
De controle van tien minuten
Vier stappen, in deze volgorde. Je hebt geen software nodig, alleen de login van je router en van je camera-app.
Een: de clientlijst van je router. Log in en open de lijst met verbonden apparaten. Je kent je telefoon, je laptop, je tv. Schrijf op wat je niet thuisbrengt, met het MAC-adres erbij, en zoek dat adres op. Negen van de tien keer is het een robotstofzuiger, een slimme stekker of de printer die je vergeten was.
Twee: de accounts en sessies in de camera-app. De meeste camera’s hangen aan een cloudaccount waar meerdere gebruikers aan kunnen. Kijk wie toegang heeft, en of daar iemand tussen zit die je niet kent. Kijk daarna bij de recente aanmeldingen: tijdstip, apparaat, soms een IP-adres. Een login om 03:14 vanaf een onbekend adres is het duidelijkste bewijs dat er iets mis is, en het is ook het bewijs dat je later nodig hebt.
Drie: de firmwareversie. Zoek de versie op in de app of de webinterface en vergelijk met wat de fabrikant aanbiedt. Een oude versie is op zichzelf al reden om te updaten. Staat er een versie die de fabrikant niet kent, dan is dat een signaal dat er iets is vervangen.
Vier: staat je camera open naar buiten? Kijk in je router bij port forwarding en bij UPnP. Elke regel die naar het adres van je camera wijst, hoort er niet te zijn. Wil je zekerheid, zoek dan je eigen IP-adres op in Shodan. Zie je je camera daar staan, dan is dat het antwoord, en dan weet je ook meteen waarom.
De vier routes waarlangs het misgaat
| Route | Hoe het werkt | Hoe je het dichtzet |
|---|---|---|
| Standaardwachtwoord | De camera staat nog op de fabriekscombinatie, die in elke handleiding en elke lijst staat | Eén keer een uniek wachtwoord instellen, en dat is het |
| Poort open naar buiten | UPnP opent automatisch een doorgang, of iemand maakt zelf een port forward | UPnP uitzetten, geen forwards naar de camera, app via de cloud als je van buiten wil kijken |
| Verouderde firmware | Een bekend lek blijft openstaan omdat de fabrikant stopt met updates | Updatebeleid bij aankoop laten meewegen, en een oude camera op een apart netwerk zetten |
| Hergebruikt wachtwoord en cloud | Het account van de camera-app heeft hetzelfde wachtwoord als een site die lekte | Uniek wachtwoord plus tweestapsverificatie op het account |
De eerste route is de meest voorkomende en de makkelijkste. De tweede is de gevaarlijkste, want die maakt een goed beveiligde camera alsnog bereikbaar. De derde is een kwestie van tijd. De vierde is de route die mensen het minst verwachten, en die het minst met de camera zelf te maken heeft.
Twee scenario’s die je laten zien hoe het gaat
De camera achter de schuur. Iemand koopt een betaalbare wifi-camera, installeert de app, en de app zet via UPnP automatisch een poort open zodat het beeld ook buitenshuis werkt. Het standaardwachtwoord blijft staan, want de app vraagt er niet om. Binnen een week staat de camera in een index. Er is niets gehackt in de zin van een aanval: er is een deur opengezet en nooit dichtgedaan. De oplossing is één middag werk, en de eigenaar merkt het nooit als hij niet kijkt.
Het bedrijf met een NVR. Een zaak heeft vier camera’s en een recorder, en de installateur heeft het beheeraccount met hetzelfde wachtwoord op alle vestigingen gezet, zodat het personeel niet hoeft na te denken. Eén oud-medewerker kent dat wachtwoord. Er is geen inbraak, er is een gedeeld geheim dat te lang is blijven staan. Bij dit type geval zie je in de logboeken een aanmelding op een tijdstip waarop niemand werkt, en dat is het moment waarop je had moeten kijken.
Beide scenario’s hebben niets met technisch vernuft te maken. Ze gaan over instellingen die niemand heeft aangeraakt.
Als het al gebeurd is
Haast is hier geen paniek, maar wel nodig, want het beeld dat nu binnenkomt kan worden opgeslagen.
- Haal de stekker uit het netwerk, niet uit de stroom. Zo stopt de verbinding naar buiten en blijft het apparaat bruikbaar voor onderzoek.
- Maak foto’s van schermen voordat je iets verandert. Sessielijst, tijdstippen, onbekende accounts, logboeken. Zonder dat is er later niets om aangifte mee te doen.
- Fabrieksreset, nieuw wachtwoord, firmware bijwerken, pas daarna weer aansluiten.
- UPnP uit en alle port forwards naar de camera weg. Dit is de belangrijkste maatregel, ook als je denkt dat het lek ergens anders zat.
- Wachtwoord van het cloudaccount wijzigen en alle sessies intrekken. Tweestapsverificatie aanzetten.
- De rest van je netwerk nalopen. Wie bij de camera kon, zat op je netwerk of had je account. Controleer je router, je nas en je andere slimme apparaten. Ons artikel over een gehackte router gaat over precies die controle.
- Aangifte doen als er beeld of geluid van jou of je huis is vastgelegd. Dat is computervredebreuk, en bij heimelijke opnames in een woning komen daar andere artikelen bij. Bewaar de berichten als er gedreigd wordt, en betaal niet.
Wat je juridisch mag, en wat niet
Dit deel staat er niet voor de vorm, want bij camera’s lopen nieuwsgierigheid en strafbaarheid dicht langs elkaar.
Wat strafbaar is. Zonder toestemming binnenkomen in iemands camerasysteem is computervredebreuk, artikel 138ab van het Wetboek van Strafrecht. Dat geldt ook als je alleen maar keek en niets veranderde, en ook als de camera in een index stond en het wachtwoord leeg was.
Wat daar bij komt. Heimelijk beeld of geluid vastleggen van iemand in een woning of besloten lokaal valt onder artikel 139f Sr. Bij een overgenomen babyfoon of huiscamera is dat geen technisch detail maar de kern van de zaak.
Wat je zelf mag. Je eigen camera controleren, je eigen IP-adres opzoeken in Shodan, en kijken of jouw apparaat vanaf het internet bereikbaar is. Dat is geen inbraak, dat is je eigen administratie nakijken.
Voor bedrijven komt de privacykant erbij. Beeld waarop mensen herkenbaar zijn is een persoonsgegeven. Cameratoezicht in een winkel of op de werkvloer vraagt een grondslag, een bewaartermijn en informatie aan de mensen die in beeld komen. Bij grootschalig of bijzonder toezicht hoort een gegevensbeschermingsafweging vooraf. En als er beeld weglekt, is dat een datalek met persoonsgegevens, wat in de praktijk betekent: beoordelen of het gemeld moet worden bij de Autoriteit Persoonsgegevens, en dat binnen de termijn die daarvoor staat. Dit is geen juridisch advies, het is de reden dat je bij een zakelijke camera de logboeken net zo serieus neemt als de opslag.
Zo zet je het goed op
De maatregelen die echt werken zijn saai en kosten een halve middag.
Zet je camera op een apart netwerk. De meeste routers hebben een gastnetwerk. Zet de camera daarop met een eigen wachtwoord. Dan kan een overgenomen camera niets bij je laptop, je nas of je administratie.
Geen port forwards, UPnP uit. Wil je van buiten kijken, gebruik dan de app van de fabrikant via de cloud, met tweestapsverificatie. Een open poort is altijd slechter dan een cloudkoppeling, ook als die cloud niet perfect is.
Een wachtwoord dat nergens anders gebruikt wordt. Een wachtwoordmanager maakt dat dragelijk, en het is de maatregel met het grootste effect per minuut die je erin steekt.
Updates, en een apparaat dat leeft. Zet automatisch bijwerken aan als het kan, of zet een kwartier in je agenda per kwartaal. Ons stappenplan voor je eigen wifi loopt dezelfde punten na voor je hele netwerk.
Zet uit wat je niet gebruikt. Audio, cloudopname, een tweede app, een gastaccount dat ooit is aangemaakt. Elke functie die aanstaat is een mogelijkheid die iemand anders kan gebruiken.
Waar je op let bij aankoop
Kijk niet naar de resolutie maar naar het updatebeleid. Een fabrikant die op zijn site zegt hoe lang hij beveiligingsupdates levert, bestaat. Een die er niets over zegt, levert ze meestal ook niet. Verder: liever lokale opslag dan alleen een cloud, liever een merk dat tweestapsverificatie ondersteunt, en liever een camera waarvan je het verkeer in je eigen router kan zien in plaats van eentje die alleen via een tussenpartij werkt.
Wil je begrijpen wat er in zo’n apparaat zit en waarom de beveiliging zo vaak tekortschiet, dan is ons IoT en firmware-cluster de plek om verder te lezen. Dat is onderzoek met toestemming, aan de goede kant.
Veelgestelde vragen
Kan iemand mijn camera hacken als ik een sterk wachtwoord heb?
Dat maakt het veel moeilijker, maar niet onmogelijk. Wat overblijft is een verouderde firmware met een bekend lek, een gelekt wachtwoord van je cloudaccount, of een camera die via UPnP alsnog bereikbaar is geworden. Sterk wachtwoord, updates en geen open poorten is de combinatie die telt, en niet één van de drie.
Hoe controleer ik dit zonder inloggegevens van de router?
Kijk in de camera-app bij gebruikers, gedeelde toegang en recente aanmeldingen. Daar staat meestal wie er is geweest, met tijdstip en apparaat. Heb je die app niet, of is het een camera zonder cloud, dan is de router de enige plek waar het te zien is, en dan is het de moeite om dat wachtwoord ergens te vinden.
Is een babyfoon of deurbelcamera ook kwetsbaar?
Ja, om dezelfde redenen, en soms meer omdat er vaker naar gekeken wordt. Bij die apparaten is het extra belangrijk dat het account een uniek wachtwoord heeft, want een overgenomen babyfoon is geen technisch probleem maar een directe privacyschending.
Ik zie mijn camera in Shodan staan. Wat nu?
Eerst de stekker uit het netwerk, dan een fabrieksreset en een nieuw wachtwoord, dan UPnP uitzetten en de port forward verwijderen, en pas daarna weer aansluiten. Ga er daarbij van uit dat er is meegekeken: controleer de sessielijst en bewaar wat je ziet.
Moet ik aangifte doen?
Als er beeld of geluid van jou of je huis is vastgelegd, ja. Ook als je de dader niet kent en de kans op vervolging klein is, want je hebt het nodig voor verzekering, voor de afhandeling en voor je eigen dossier. Neem de schermafbeeldingen en tijdstippen mee.
Verder lezen
Weet je niet waar je moet beginnen, ga dan naar eerste hulp bij hacks: daar staat per situatie wat je als eerste doet. Speelt het vermoeden breder dan de camera, dan is hoe weet ik of mijn telefoon gehackt is de logische volgende stap, en voor het hele netwerk het wifi-stappenplan. Wie na het lezen zin krijgt om zelf te kijken wat er in dit soort apparaten zit: begin bij het IoT-cluster en niet bij de camera van de buren.
