CFTV inseguro: quando a camera vira porta de entrada na rede

O ponto cego da segurança corporativa: o circuito de câmeras

Quase toda empresa que investe em segurança digital hoje trata firewall, antivírus e backup como prioridade. Mas existe um equipamento que costuma ficar fora de qualquer inventário de TI: o DVR ou NVR do sistema de CFTV. Ele foi instalado por uma empresa de segurança patrimonial, ligado direto no switch da rede, configurado com a senha que veio de fábrica e nunca mais foi tocado. Enquanto isso, ele fica ligado 24 horas por dia, sete dias por semana, com um cabo de rede plugado no mesmo segmento onde estão o servidor de arquivos, a estação da contabilidade e o computador do diretor.

Essa combinação é exatamente o que atacantes procuram. Gravadores de vídeo e câmeras IP rodam sistemas Linux embarcados enxutos, com serviços web antigos, bibliotecas desatualizadas e credenciais previsíveis. São dispositivos projetados para durar oito ou dez anos em campo, mas cujo firmware raramente recebe correção depois do segundo ano de vida. O resultado é um computador completo, com acesso à rede interna, rodando software que ninguém atualiza e que ninguém monitora.

O histórico de incidentes reforça o problema. A botnet Mirai, que em 2016 derrubou boa parte da internet nos Estados Unidos, foi construída quase inteiramente sobre câmeras IP e DVRs com credenciais padrão. Desde então, campanhas semelhantes se repetem em ciclos, agora com objetivos mais lucrativos: em vez de apenas usar o equipamento para ataques de negação de serviço, o invasor usa a câmera como cabeça de ponte para mapear a rede interna e chegar até onde realmente importa — os servidores e os dados da empresa.

Como um DVR exposto na internet vira porta de entrada

O caminho mais comum começa com uma demanda legítima: o dono da empresa quer ver as câmeras pelo celular quando está viajando. A solução aplicada na maioria das instalações é abrir uma porta no roteador e redirecioná-la para o DVR — o famoso encaminhamento de porta, ou port forwarding. A partir desse momento, aquele equipamento deixa de ser um dispositivo interno e passa a ser um serviço publicado na internet, acessível por qualquer pessoa no mundo que descubra o endereço IP.

Descobrir não é difícil. Existem mecanismos de busca especializados em catalogar dispositivos conectados, que varrem toda a faixa de endereços IPv4 continuamente e indexam o que respondem as portas abertas. Um DVR exposto aparece nesses índices em questão de horas, com marca, modelo e versão de firmware identificados. O atacante não precisa procurar a sua empresa: ele procura por todos os equipamentos de um modelo específico que ele já sabe explorar, e a sua empresa aparece na lista.

A exploração, então, segue um roteiro previsível:

• Credenciais de fábrica. Combinações como admin/admin, admin/12345 ou admin sem senha ainda respondem em uma fração significativa dos equipamentos instalados. Muitos fabricantes sequer forçam a troca no primeiro acesso.
• Contas de manutenção não documentadas. Diversos modelos possuem usuários de suporte embutidos no firmware, com senha fixa e sem opção de remoção pela interface do usuário.
• Falhas de autenticação na interface web. Vulnerabilidades que permitem baixar o arquivo de configuração, incluindo o hash ou até a senha em texto claro, sem qualquer login prévio.
• Injeção de comando no sistema operacional. Campos da interface que repassam a entrada do usuário direto para o shell, permitindo executar código com privilégio de administrador no dispositivo.
• Protocolos legados habilitados. Telnet, FTP e serviços de descoberta ativos por padrão, sem cifra e sem controle de acesso.

Uma vez com acesso ao DVR, o invasor tem um host Linux dentro da sua rede. De lá, ele escaneia o segmento inteiro, identifica compartilhamentos de arquivos, tenta as mesmas senhas em outros equipamentos, procura o servidor de domínio e estabelece um túnel de saída para manter o acesso mesmo se a porta original for fechada. O sistema de câmeras, que existia para proteger o patrimônio físico, passa a ser o vetor que compromete o patrimônio digital.

O CFTV é tratado como sistema de segurança predial, não como ativo de TI. Por isso escapa do inventário, do processo de atualização e da política de senhas — e é exatamente por isso que ele é o elo mais frágil da rede corporativa.

Isolar a câmera da rede: VLAN como medida estrutural

A correção definitiva não é trocar a senha do DVR — embora isso seja obrigatório. É partir do princípio de que o equipamento vai ser comprometido em algum momento e garantir que, quando isso acontecer, o estrago fique contido. Esse princípio se chama segmentação, e a ferramenta prática para aplicá-lo é a VLAN.

Uma VLAN de CFTV é uma rede lógica separada, com sua própria faixa de endereços, criada dentro do mesmo switch físico que já existe na empresa. Todas as câmeras, o DVR ou NVR e eventualmente o servidor de gravação ficam nessa VLAN. O tráfego entre essa rede e a rede corporativa passa obrigatoriamente pelo firewall, onde regras explícitas definem o que pode ou não circular. Sem regra liberando, nada passa.

O desenho recomendado para um ambiente corporativo típico:

1. Criar a VLAN dedicada no switch gerenciável, com faixa de endereços própria — por exemplo, 192.168.50.0/24 — completamente separada da faixa dos usuários.
2. Marcar as portas físicas onde câmeras e gravador estão conectados como pertencentes a essa VLAN. Câmeras alimentadas por PoE devem estar em switches cujas portas também sejam marcadas.
3. Bloquear por padrão todo o tráfego saindo da VLAN de CFTV para a rede corporativa. Câmera não precisa enxergar servidor de arquivos, controlador de domínio ou estação de trabalho.
4. Bloquear a saída para a internet das câmeras. Um dispositivo que só grava localmente não tem motivo para iniciar conexões externas. Se o modelo exige nuvem do fabricante, liberar apenas os destinos específicos documentados, nunca acesso irrestrito.
5. Permitir apenas o fluxo necessário em sentido único: das estações autorizadas de monitoramento em direção ao gravador, nas portas específicas do software de visualização.
6. Bloquear a comunicação entre as próprias câmeras quando o switch suportar isolamento de portas. Câmera não conversa com câmera; ambas só falam com o gravador.

Esse conjunto de regras não custa hardware novo na maioria dos casos — switches gerenciáveis e firewalls que já estão instalados suportam tudo isso. O que costuma faltar é o projeto e a documentação de quem instalou o CFTV originalmente, já que a empresa de segurança patrimonial normalmente não tem domínio de rede.

Acesso remoto sem expor o gravador

Isolar o CFTV levanta imediatamente a objeção prática: e o acesso remoto que o cliente já usa? A boa notícia é que existem caminhos seguros que preservam a comodidade de ver as câmeras pelo celular sem publicar o DVR na internet.

A abordagem mais sólida é a VPN. O usuário conecta primeiro à VPN da empresa e, dentro desse túnel cifrado, acessa o gravador como se estivesse no escritório. Nenhuma porta do DVR fica exposta, a autenticação acontece no firewall — que é um equipamento projetado para isso e que recebe atualizações — e todo o acesso fica registrado. Soluções modernas de VPN em firewalls corporativos suportam autenticação em dois fatores, o que eleva bastante o custo de um ataque por roubo de credencial.

Quando a VPN não é viável para todos os usuários, existem alternativas intermediárias:

• Servidor de mídia intermediário. Um servidor na rede recebe os fluxos das câmeras e publica a interface de visualização, mantendo o DVR isolado. A superfície exposta passa a ser um software mantido e atualizado, não um firmware embarcado de 2018.
• Serviço de nuvem do fabricante com avaliação prévia. Alguns fabricantes oferecem relay em nuvem que dispensa abrir portas. É aceitável desde que o fabricante seja idôneo, o tráfego seja cifrado e a conta tenha segundo fator habilitado.
• Restrição por origem. Se a publicação direta for inevitável por limitação do equipamento, liberar apenas endereços IP de origem conhecidos, nunca acesso aberto ao mundo.

Independentemente do caminho escolhido, algumas práticas são inegociáveis: trocar todas as senhas padrão por senhas fortes e individuais, remover ou desabilitar contas de manutenção quando o firmware permitir, desligar Telnet, FTP e UPnP no equipamento e no roteador, atualizar o firmware para a versão mais recente disponível e verificar a cada semestre se o fabricante ainda dá suporte àquele modelo. Equipamento que saiu de suporte é equipamento que precisa entrar no plano de substituição, porque as falhas descobertas depois do fim do suporte nunca serão corrigidas.

Colocando o CFTV dentro da governança de TI

A raiz do problema é organizacional antes de ser técnica. Enquanto o CFTV for responsabilidade de um fornecedor de segurança patrimonial e a rede for responsabilidade da TI, ninguém responde pela interseção — que é justamente onde o risco mora. A correção estrutural é simples de enunciar: todo dispositivo com endereço IP na rede da empresa é ativo de TI e precisa estar sob a mesma governança dos demais.

Na prática, isso significa incluir cada câmera, gravador e switch PoE no inventário de ativos, com marca, modelo, versão de firmware, endereço IP, data de instalação e responsável pelo suporte. Significa também aplicar a política de senhas da empresa a esses equipamentos, incluir a verificação de firmware no calendário de manutenção preventiva e submeter o CFTV ao mesmo monitoramento de disponibilidade usado nos servidores — afinal, uma gravação que parou de funcionar há três semanas só é descoberta no dia em que alguém precisa da imagem.

Vale ainda registrar dois pontos frequentemente esquecidos. O primeiro é a retenção: quanto tempo as gravações ficam armazenadas e se esse prazo atende às necessidades jurídicas da empresa. O segundo é a LGPD — imagem de pessoa identificável é dado pessoal, e o sistema precisa de controle de acesso, registro de quem visualizou e sinalização adequada nas áreas monitoradas. Um DVR exposto na internet não é apenas um risco de segurança de rede: é um vazamento de dados pessoais aguardando acontecer.

Como a Duk trata o CFTV na infraestrutura dos clientes

Com mais de 18 anos de mercado e mais de 550 empresas atendidas, a Duk Informática & Cloud já encontrou o mesmo cenário incontáveis vezes: um levantamento de rede que revela DVRs com senha de fábrica no mesmo segmento dos servidores, câmeras com firmware de cinco anos atrás e portas abertas no roteador que ninguém sabia que existiam. Por isso, o mapeamento de dispositivos conectados faz parte do diagnóstico inicial de qualquer projeto de infraestrutura, e não de um serviço à parte.

O trabalho envolve desenhar a segmentação em VLANs, configurar as regras de firewall que separam CFTV, usuários, servidores e visitantes, substituir a exposição direta por acesso via VPN com autenticação em dois fatores e documentar tudo para que a empresa não dependa da memória de um técnico. Como Microsoft Gold Partner, a Duk integra esse controle de acesso à identidade corporativa já existente, evitando a criação de mais um conjunto isolado de credenciais para os usuários gerenciarem.

O ponto de partida é sempre o mesmo e não custa nada: descobrir o que está publicado na internet a partir do seu endereço IP. Se um gravador de imagens responder nesse teste, existe uma correção urgente a fazer — e ela é bem mais barata do que o incidente que ela evita.