IPA（独立行政法人 情報処理推進機構）からネットワークカメラに関する脆弱性情報のメールがきていたので、自分なりに解説してみました。
私たちの生活を守るはずのネットワークカメラが、逆にサイバー攻撃の「入り口」になってしまう可能性があります。
2026年、TOA株式会社が提供するネットワークカメラ「TRIFORA 3シリーズ」において、複数の深刻なセキュリティ上の弱点(脆弱性)が発見されました。（ネットワークカメラの脆弱性はよくあることで、特にこのカメラに問題があるわけではありません。逆に公表しないとか気が付かないとかの会社もあるように思います。
この記事では、「セキュリティなんて難しくてよくわからない…」という初心者の方にも理解していただけるよう、この問題がなぜ危険なのか、私たちのパソコンやスマホにどんな影響があるのか、そして今すぐできる対策について、実際のQ&Aを交えながら説明します。
目次
- 今回見つかった「3つの大きな穴」とは
- なぜ「カメラ」の問題で「パソコン」が危ないのか
- 侵入者はどうやってカメラを見つけ、侵入するのか
- あなたのカメラは大丈夫?具体的なリスクシナリオ
- 今すぐすべき対策
1. 今回見つかった「3つの大きな穴」とは
「脆弱性」という言葉は難しく聞こえますが、簡単に言えば「プログラムの書き間違いによってできた、侵入者が悪用できる隙間」のことです。
今回のTRIFORA 3シリーズでは、大きく分けて3種類の脆弱性が報告されています。
① 勝手な命令を聞いてしまう穴(OSコマンドインジェクション - CVE-2026-20759)
どんな問題? 本来は「カメラの名前」や「接続先のアドレス」を入れるべき入力欄に、システムを操作するための特別な記号(; や & など)と悪意のある命令を混ぜて送信されることで発生します。
何が起きる? カメラのプログラムがその入力を適切に処理できないと、入力された文字を「ただのデータ」ではなく、システムへの直接の命令(OSコマンド)として実行してしまいます。これにより、侵入者はカメラの内側で自由に命令を下せる状態になります。
具体的な被害例
- カメラ内のファイルを勝手に書き換えられる
- 川の水位監視カメラなら、実際の映像ではなく「晴れた日の別の画像」を表示させることも可能
- カメラ内に悪意のあるプログラムを設置され、遠隔操作の「踏み台」にされる
- システムの設定を改ざんされ、犯罪の痕跡を隠される
必要な条件 「モニタリングユーザー」以上の権限を持つアカウントでログインしていることが前提となります。
② 設定画面に「罠」を仕掛けられる穴(クロスサイトスクリプティング - CVE-2026-20894)
どんな問題? カメラの設定画面に不正なプログラム(スクリプト)を埋め込まれてしまう問題です。
何が起きる? 悪意のある管理者が設定画面に細工をします。その後、別の管理者がその設定画面をパソコンやスマホのブラウザで開くと、その人のブラウザ上で勝手にプログラムが動き出します。
具体的な被害例
- ブラウザに保存されているログイン情報(クッキー)を盗まれる
- 管理者になりすまして操作される
- パソコンやスマホにトロイの木馬(ウイルス)をインストールされる
- 偽のログイン画面を表示され、パスワードを直接盗まれる
重要なポイント この攻撃は「カメラのOS」ではなく、「カメラを操作している人のパソコンやスマホのブラウザ」が被害を受けます。
③ 秘密のファイルを覗かれる穴(パストラバーサル - CVE-2026-22876)
どんな問題? 本来はアクセスできないはずの、システム深部にある重要なファイルを勝手に見られてしまう弱点です。（カメラのOSの深部）
何が起きる? ファイルの場所を指定する際のチェックが不十分なため、「一つ上の階層へ行く」という記号(../)などを繰り返し使うことで、通常は見ることができないシステム深部のファイルまで辿り着けてしまいます。
覗かれる可能性のあるファイル カメラを動かしているOS(多くの場合Linux)の管理下にある、通常はユーザーに公開されていないファイル群です。
- システム設定ファイル: OSの核心部分に関わる特権ファイル
- ユーザー情報: パスワードやユーザー名が保存されているデータベース
- 通信の秘密鍵: カメラが他の機器と通信する際の認証情報
- ログファイル: システムの動作記録やエラー情報
必要な条件 「モニタリングユーザー」以上の権限を持つアカウントでログインしていることが前提となります。
2. なぜ「カメラ」の問題で「パソコン」が危ないのか?
「カメラが攻撃されても、映像が盗み見られるだけでは?」と思うかもしれません。しかし、被害はカメラの中だけにとどまりません。
カメラとパソコンは「ブラウザ」でつながっている
最大の理由は、私たちがパソコンやスマホのウェブブラウザ(ChromeやEdgeなど)を使ってカメラを操作するからです。
攻撃の流れ
- 犯人がカメラの設定画面に「罠(不正なスクリプト)」を仕込む
- あなたが管理画面をブラウザで開く
- カメラから送られてきた罠が、あなたのパソコンのブラウザ上で実行される
- ブラウザは「信頼しているカメラから送られてきた正しいプログラムだ」と判断してしまう
具体的な被害例
パソコンでの被害
- ブラウザに保存されている他のサイトのパスワード情報(クッキー)を盗まれる
- 偽のログイン画面を表示され、直接パスワードを入力させられる
- トロイの木馬などのウイルスをインストールされる(ドライブバイハッキング)
- 管理者権限を乗っ取られ、カメラの設定を勝手に変更される
スマホでの被害 外出先からスマホでカメラを開いた場合も同様のリスクがあります。
- スマホのブラウザ上で不正なプログラムが実行される
- スマホに保存されている情報が盗まれる
- スマホにウイルスをインストールされる可能性
室内カメラでも安全ではない理由 「うちのカメラは室内にあって、ルーターに繋がっているだけだから大丈夫」と思っていませんか?
実は、ルーターの内側にあっても危険です。
- 家の中で(ルーターの内側で)カメラの設定画面を開いた際に、カメラに仕込まれた罠が発動する
- ルーターの壁は関係なく、パソコンやスマホが攻撃される
- 一度パスワードが破られると、ルーターの内側でも攻撃が成立する
3. 侵入者はどうやってカメラを見つけ、侵入するのか?
犯人は、あてもなくインターネットを彷徨っているわけではありません。彼らは非常に効率的な方法でターゲットを見つけ出し、侵入します。
ステップ1:カメラを「発見」する
① 機器専門の検索エンジンを使う 一般的なGoogle検索は「ウェブサイトの内容」を探しますが、侵入者はShodan(ショーダン)やCensys(センシス)といった、インターネットに接続された「機器」そのものを検索するエンジンを利用します。
- これらのエンジンは、世界中のIPアドレスを常に巡回し、どのような機器が繋がっているかを記録している
- 「TOA」や「TRIFORA」といった製品名で検索すると、世界中で公開されている該当カメラの一覧とIPアドレスが即座に表示される
② 自動スキャンツールで手当たり次第探す 「ウェブアプリケーションスキャナー」と呼ばれる自動化されたツールを使用します。
- 特定のIPアドレスの範囲に対して、「このカメラには脆弱なページがあるか?」という問い合わせを高速で送りつける
- カメラからの反応を見て、「TRIFORA 3シリーズ」であることや、脆弱性が修正されていないバージョンであることを自動的に判別する
IPアドレスの具体例で理解する
家のルーターに接続されている場合(プライベートIPアドレス)
- 例:
192.168.1.10、192.168.3.20、10.0.0.15 - このアドレスは、ルーターの外側(インターネット)からは直接見えない
- 検索エンジンで勝手に見つけられるリスクは比較的低い
インターネットに公開されている場合(グローバルIPアドレス)
- 例:
162.121.186.23、123.45.67.89 - 世界中のどこからでもアクセス可能
- Shodanなどのエンジンやスキャナーによって簡単に発見される
外部からアクセスする場合のアドレス形式 もし家のグローバルIPが162.121.186.23で、カメラがポート8080で公開されている場合:
- 外部からのアクセスURL:
http://162.121.186.23:8080 - このアドレスは検索エンジンやスキャナーで外部から発見される可能性が非常に高い
- ポート
8080は管理画面によく使われるため、攻撃者が優先的にスキャンする対象
ステップ2:「窓口」を見つける
侵入者にとっての「窓口」とは、外部からデータを受け取るすべての接点のことです。
① 目に見える設定画面の入力欄
- 「カメラの名前を変更する欄」
- 「新しいユーザーを追加する欄」
- 「接続先のサーバーアドレスを入れる欄」
② ブラウザのアドレスバー(URL)
- 例:
http://カメラのIP/setting?id=123 - この
123の部分を攻撃用の命令に書き換える ../などの記号を入れることで、本来見せてはいけないシステムファイルへの道を作る
③ 表には見えない通信データ
- クッキー(Cookie)やHTTPヘッダーと呼ばれる、ログイン状態を保つための情報
- 専用のツールを使い、これらの隠れたデータの中に不正なプログラムを紛れ込ませる
侵入者はなぜURLやパラメータがわかるのか?
① 実際にカメラを操作して観察
- 正当な(または乗っ取った)アカウントでログインし、設定画面をクリックする
- ブラウザのアドレスバーにURLが表示される
- 専門的なツールで、ブラウザとカメラの間のやり取りを全て見る
② 自動ツールで手当たり次第探す
- 「setting」「admin」「config」といった、よく使われるURLの単語を高速で組み合わせてカメラに投げつける
id=123のような数字も、1から順番に試していく
③ カメラのプログラムを解析
- カメラのファームウェア(内部ソフト)を入手し、解析する
- どのURLがどのような命令を処理しているのか、内部構造から直接読み取る
ステップ3:実際に侵入する
① まずログインして足がかりを作る 今回の脆弱性の多くは、「モニタリングユーザー」や「管理者」といった権限でログインしていることが前提です。
- 弱いパスワードを使ってログインする
- 元々低い権限を持っている人物が、より高い特権を得ようとして攻撃を開始する
② 入力欄に特別な命令を混ぜて送信(OSコマンドインジェクション)
- 本来なら「カメラの名前」を入れる場所に、システムを操作するための特別な記号と悪意のある命令を混ぜて送信
- カメラのプログラムが不適切に処理すると、システムへの直接の命令として実行される
③ 罠を設置して他のユーザーを待ち構える(クロスサイトスクリプティング)
- 悪意のあるユーザーが、カメラの設定画面に不正なプログラムをこっそり保存
- 別の管理者がその設定画面を開くと、保存されていたプログラムがその人のブラウザで勝手に動き出す
④ システム内の「隠し扉」を探す(パストラバーサル)
- ファイルを表示する機能を悪用して、「一つ上の階層のフォルダを見る」といった特殊な操作を繰り返す
- 本来アクセスできないシステム深部のファイルまで覗き見る
4. 自分のカメラは大丈夫? 具体的なリスク例
実際の使用シーンで、どのような危険があるのかを見てみましょう。
例1 川の水位監視カメラが改ざんされる
状況 自治体が設置した川の水位監視カメラがインターネットに公開されている。
攻撃の流れ
- 侵入者がShodanで川の監視カメラを発見
- 弱いパスワードでログインに成功
- OSコマンドインジェクションを使って、カメラのシステムファイルを書き換え
- 実際の水位映像ではなく、「晴れた日の穏やかな川の画像」をループ再生させる
- 本当は増水しているのに、監視者は異常に気づかない
なぜ可能なのか OSコマンドインジェクションにより、侵入者はカメラのOSで「任意のコマンド」を実行できます。これにより:
- ファイルの変更(映像ファイルの上書き)
- アプリケーションデータの変更(表示設定の書き換え)
- 活動の隠蔽(ログの削除)
例2 室内カメラからパソコンが感染
状況 家の室内にネットワークカメラを設置し、ルーターに接続している。
攻撃の流れ
- 家族の誰かが弱いパスワードを設定していた
- 侵入者がそのパスワードでログイン
- カメラの設定画面に「罠(不正なスクリプト)」を仕込む
- 自分が家のパソコンから設定を確認しようとブラウザで開く
- パソコンのブラウザ上で罠が発動し、ウイルスがインストールされる
なぜルーターがあっても防げないのか
- 家の中で(ルーターの内側で)カメラの設定画面を開いた際に罠が発動
- ルーターは外部からの攻撃は防ぐが、内部からのアクセスは許可している
- クロスサイトスクリプティングは「カメラを操作している人のブラウザ」を攻撃する
例3 外出先のスマホからアクセスして感染
状況 外出先からスマホでカメラをチェックできるよう、インターネットに公開している。
攻撃の流れ
- 侵入者がカメラをShodanで発見し、設定画面に罠を仕込む
- 外出先からスマホのブラウザでカメラにアクセス
- スマホのブラウザ上で不正なプログラムが実行される
- スマホに保存されているクッキー情報が盗まれる
- その情報を使って、侵入者があなたになりすまして他のサイトにログインする
なぜ距離は関係ないのか 今回の脆弱性は、攻撃の経路が「ネットワーク(AV:N)」と定義されています。これは:
- 物理的な距離に関わらず、インターネット経由で攻撃が可能
- 外出先でカメラを確認するのと同時に、犯人も世界中から攻撃できる
5. 今すぐすべき対策
最も重要:カメラのファームウエアを最新版にアップデートする
これが唯一の根本的な解決策です。
なぜアップデートが効くのか 脆弱性とは、いわば「プログラムの書き間違い」による隙間のことです。犯人はその隙間から「不正な命令」を送り込みますが、最新版にアップデートすることで:
- カメラは不正な命令を「安全な文字」として正しく処理(無害化)できるようになる
- 侵入者がOSコマンドを実行できなくなる
- 不正なスクリプトが実行されなくなる
- システムファイルへの不正なアクセスが防がれる
アップデート手順
- 使用しているカメラの会社の公式サイトで告知ページを確認
- 使用している機器が対象になっていないかチェック
- 最新のファームウェアをダウンロード
- メーカーの指示に従ってアップデートを実行
その他の重要な対策
① 強力なパスワードを設定
- 推測されにくい複雑なパスワードを使用
- 初期設定のパスワードは絶対に変更する
- 定期的にパスワードを変更する
② 不要な公開を避ける
- 本当にインターネットから直接アクセスする必要があるか検討
- 必要ない場合は、カメラをインターネットへ直接公開しない設定にする
- VPN(仮想プライベートネットワーク)を使って、特定の相手だけがアクセスできるようにする
③ 定期的にチェック
- カメラの動作ログを定期的に確認
- 見覚えのないアクセスがないかチェック
- メーカーからのセキュリティ情報を定期的に確認
まとめ 正しく管理されていないカメラはおおきなリスクがある
ネットワークカメラは、私たちの安全を見守るための道具です。しかし、今回の脆弱性が示すように、適切に管理されていないカメラは、逆に私たちを危険にさらす「侵入の入り口」になってしまいます。
今回の重要なポイント
- カメラの脆弱性は、カメラだけでなく操作しているパソコンやスマホにも被害を及ぼす
- 侵入者は専門の検索エンジンやツールを使って、効率的にターゲットを見つけ出す
- 室内のカメラでも、ルーターの内側でも、脆弱性を放置すれば危険
- 映像の改ざん、情報の窃取、ウイルス感染など、被害は多岐にわたる
- 最新版へのアップデートが唯一の根本的な解決策