אם יש לכם מצלמות אבטחה בעסק, במיוחד כאלה שמחוברות לאינטרנט, המאמר הזה יעזור לכם לוודא שהן לא משדרות בטעות גם למי שלא צריך, ושהן לא הופכות לחולשה מודיעינית בתקופות מתוחות.
מצלמות אבטחה הפכו לסטנדרט כמעט בכל עסק, מחנות קטנה ועד ארגון עם כמה סניפים. הן נותנות תחושת שליטה ושקט נפשי, אבל בלי הגדרות ואבטחה נכונות הן עלולות להפוך מ"מגן" ל"חור אבטחה" מסוכן.
אבטחת מצלמות אבטחה לעסקים מתחילה בשלושה צעדים: חוסמים גישה ישירה למצלמות מהאינטרנט, מחליפים את סיסמאות ברירת המחדל ומתקינים את עדכוני הקושחה של היצרן. חשוב להבין: מצלמה שמחוברת לאינטרנט, עם הגדרות לא נכונות, עלולה לשדר בשידור חי לעולם כולו, בלי שתדעו בכלל.
למה מצלמות אבטחה כל כך פריצות?
מצלמות אבטחה נפרצות בעיקר בגלל הגדרות, לא בגלל תקיפה מתוחכמת: סיסמת ברירת מחדל שלא הוחלפה, פורט שנפתח בנתב כדי לצפות מהבית, ממשק ניהול לא מוצפן וקושחה שלא עודכנה. בוטים סורקים את כל האינטרנט ומחפשים בדיוק את המכשירים האלה, כך שגם עסק קטן שאף אחד לא מכוון אליו אישית נמצא ברשימה.
| הטעות | מה עושים במקום |
|---|---|
| סיסמת ברירת מחדל שלא הוחלפה | סיסמה ייחודית וארוכה לכל מצלמה ומכשיר הקלטה |
| פורט פתוח בנתב (Port Forwarding) | סוגרים את הפורט ועוברים לגישה דרך VPN |
| ממשק ניהול לא מוצפן | HTTPS אם המצלמה תומכת, וגישה לממשק רק מתוך הרשת הפנימית |
| קושחה שלא עודכנה | בדיקה באתר היצרן ותזכורת קבועה ביומן |
| זווית צילום שחושפת מידע רגיש | שינוי זווית או טשטוש של האזור הרגיש |
- סיסמאות ברירת מחדל
- פתיחת פורטים לראוטר (Port Forwarding)
- ממשק ניהול לא מוצפן
- עדכוני אבטחה שלא מותקנים
- מיקום וזווית צילום שמסגירים מידע קריטי
מה מערך הסייבר הלאומי ממליץ לבעלי מצלמות?
מערך הסייבר הלאומי ממליץ לצמצם את החשיפה של מצלמות שמחוברות לאינטרנט בחמש פעולות: למנוע גישה ישירה למצלמה מהרשת הציבורית, להחליף סיסמאות ברירת מחדל, להתקין עדכוני אבטחה של היצרן, להגביל גישה מרחוק ל-VPN עם הזדהות חזקה, ולבדוק שהעדשה לא צופה על מתקן רגיש.
> 🚨 מצלמות שמחוברות לאינטרנט? זה הזמן לבדוק שהן לא משדרות גם למי שלא צריך
ארגונים, עסקים ואזרחים רבים משתמשים במצלמות אבטחה המחוברות לרשת האינטרנט. הן מספקות שליטה, בקרה ושקט נפשי, אך כאשר הן אינן מוגנות כראוי, הן עלולות להפוך לכלי איסוף מידע בידי גורמים עוינים.
הסיכון גובר במיוחד בתקופות מתוחות ובאזורים שבהם מתקיימת פעילות ביטחונית. מצלמות הצופות לכבישים ראשיים, צמתים, מתקנים ציבוריים או תשתיות רגישות, עלולות לחשוף מידע רגיש אם יושגו אליהן גישות לא מורשות.
מערך הסייבר הלאומי ממליץ לפעול לצמצום החשיפה של מצלמות המחוברות לרשת האינטרנט, ובפרט מצלמות הצופות לאזורים רגישים.
כך תפעלו נכון:
- מנעו גישה ישירה של המצלמה מהאינטרנט הציבורי
- החליפו סיסמאות ברירת מחדל לסיסמה ייחודית, ארוכה ומורכבת
- התקינו עדכוני אבטחה של היצרן באופן שוטף
- הגבילו גישה מרחוק באמצעות VPN עם הזדהות חזקה
- בדקו מה רואים בעדשה, ואם נלכד מתקן רגיש, שנו זווית צילום
פעולה פשוטה עכשיו יכולה למנוע חשיפה משמעותית בהמשך. מומלץ לשתף את ההנחיות עם כל מי שמחזיק מצלמות בבית או בעסק.
צעד אחר צעד: איך לאבטח את מצלמות האבטחה בעסק?
שבעה צעדים סוגרים את רוב החשיפה, ואת רובם אפשר לבצע בלי להחליף ציוד: ממפים איך ניגשים למצלמות, חוסמים גישה ישירה מהאינטרנט, מחליפים סיסמאות ברירת מחדל, מעדכנים קושחה, מעבירים גישה מרחוק ל-VPN או לענן של היצרן עם אימות דו שלבי, מפרידים את רשת המצלמות משאר העסק, ובודקים מה רואים בעדשה.
1. עושים סדר: איך המצלמות מחוברות?
לפני שנוגעים בהגדרות, חשוב להבין את התמונה:
- איך אתם ניגשים למצלמות? דרך אפליקציה? דרך דפדפן? כתובת IP?
- האם הטכנאי שלכם ביצע "פתיחת פורטים" בנתב כדי שתראו מהמכשיר הנייד?
- האם המצלמות מחוברות לענן של היצרן (P2P / Cloud)?
ככל שיש יותר דרכים לגשת למצלמות, כך גדל שטח התקיפה. המטרה: להשאיר רק את מה שבאמת חייבים.
2. חוסמים גישה ישירה מהאינטרנט
מה שלא עושים:
- לא משאירים מצב שבו כל אחד יכול להקליד כתובת IP ומספר פורט ולהגיע למצלמות.
- לא מסתמכים על "אף אחד לא יודע את הכתובת שלי".
מה כן עושים בפועל:
- נכנסים לראוטר / נתב ובודקים אם יש Port Forwarding למצלמות או ל-NVR, ומבטלים אותו.
- אם ספק האינטרנט או הטכנאי פתחו פורט, מבקשים במפורש לסגור אותו.
- אם חייבים גישה מרחוק, עוברים למודל מאובטח דרך VPN (ראו בהמשך).
כך בדיוק תוקפים מוצאים מצלמות חשופות: מנועי חיפוש כמו Shodan כבר סרקו את האינטרנט ורשמו כל ממשק שעונה מבחוץ. במאמר על מיפוי שטח התקיפה החיצוני עם Shodan אפשר לראות איך העסק שלכם נראה מהצד שלהם.
התרשים מראה את ההבדל: פורט פתוח בנתב מאפשר לכל מי שמגיע מהאינטרנט לנסות להתחבר למצלמות, כולל בוטים שמנסים סיסמאות. בגישה דרך VPN אין בנתב פורט שמפנה למצלמות, ורק משתמש מורשה עם הזדהות חזקה מגיע לרשת המצלמות.
3. מחליפים סיסמאות ברירת מחדל
כל מצלמה, NVR, או מערכת הקלטה חייבים לעבור את הצעדים הבאים:
- להחליף את שם המשתמש ברירת המחדל (אם אפשר).
- להגדיר סיסמה:
המרכז הלאומי לסייבר של בריטניה (NCSC) מזהיר במדריך שלו על מצלמות אבטחה חכמות, שעודכן במרץ 2025, שחלק מהמצלמות נשלחות עם סיסמת ברירת מחדל ידועה או קלה לניחוש, כמו admin.
טיפ פרקטי:
- צרו "כרטיס מצלמות" שבו רשומים:
4. מטפלים בעדכוני קושחה (Firmware)
למה זה חשוב? יצרנים מתקנים פרצות אבטחה, אבל אם לא התקנתם את העדכון, הפרצה נשארת פתוחה.
דוגמה אחת: פגיעות CVE-2021-36260 בשרת הווב של חלק ממוצרי Hikvision מאפשרת לתוקף להריץ פקודות על המכשיר מרחוק. מאגר הפגיעויות הלאומי של ארה"ב (NVD) מדרג אותה 9.8 מתוך 10, והסוכנות האמריקאית לאבטחת סייבר (CISA) הוסיפה אותה לקטלוג הפגיעויות שמנוצלות בפועל בינואר 2022.
מה עושים בפועל:
- מאתרים את דגם המצלמה / ה-NVR (ממדבקה על המכשיר או דרך הממשק).
- נכנסים לאתר היצרן ובודקים אם יש עדכוני Firmware.
- מתקינים לפי ההוראות, בשעות שבהן העסק סגור או פחות פעיל.
- מוסיפים תזכורת ביומן: בדיקה חוזרת כל 6 חודשים.
אם יש לכם ספק תחזוקה קבוע, דאגו שזה יהיה חלק מהשירות: עדכוני אבטחה למצלמות.
5. גישה מרחוק, רק דרך VPN או שירות מאובטח
אם אתם חייבים לראות את המצלמות מהבית או מהנייד:
- לא משתמשים בפתיחת פורטים שנגישה לכל האינטרנט.
- מעדיפים:
בכל מקרה:
- לא משתמשים באותה סיסמה לחשבון הענן ולמערכות אחרות.
- בודקים אחת לתקופה אילו משתמשים מחוברים לחשבון הענן, ומסירים מה שלא צריך.
ה-VPN שמשמש את העובדים לעבודה מהבית יכול לשרת גם את הצפייה במצלמות. איך בוחרים פתרון VPN לעסק, במדריך לעבודה מרחוק מאובטחת.
6. מפרידים את רשת המצלמות משאר העסק
לא רוצים שמצלמות האבטחה יהפכו ל"גשר" לתוך שרתי החברה או הקופות.
מומלץ:
- להגדיר רשת נפרדת למצלמות (VLAN או רשת "אורחים" ייעודית למכשירים).
- לדאוג שממצלמות לא תהיה גישה חזרה למחשבי העובדים, לשרתים, ל-NAS או למערכות הנה"ח.
- לבקש במפורש מאיש ה-IT / ספק התקשורת:
רשת המצלמות היא שכבה אחת. על שאר שכבות ההגנה סביב הרשת והמערכות, במדריך לאבטחת מידע ורשתות בעסק.
7. בודקים מה רואים בעדשה, לא רק את הצד הטכני
לפעמים הבעיה אינה טכנית אלא מודיעינית:
- האם המצלמה מצלמת:
אם התשובה היא כן:
- שקלו לשנות זווית צילום כך שפחות תשתיות/כבישים יראו בפריים.
- טשטשו אזורים רגישים אם המערכת תומכת בכך.
- ודאו שאתם עומדים בדרישות פרטיות (שילוט מתאים, שימוש סביר במצלמות, שמירה על נתוני וידאו).
אילו משפטים של בעלי עסקים מסמנים מצלמות חשופות?
ארבעה משפטים חוזרים שוב ושוב בשטח ומסמנים מצלמות חשופות: "הטכנאי סידר", "יש לי אפליקציה, אז זה בטוח", "מי כבר יתעניין בעסק הקטן שלי" ו"זה רק מחסן". המשותף לכולם הוא הנחה שמישהו אחר כבר טיפל באבטחה, בלי שאיש בדק מה באמת פתוח בנתב, אילו משתמשים קיימים ומי מחזיק את הסיסמאות.
- "הטכנאי סידר, הוא יודע", בלי להבין מה באמת נפתח בראוטר, אילו משתמשים קיימים והאם הסיסמאות הוחלפו.
- "יש לי אפליקציה, אז זה בטוח", אפליקציה אינה ערובה לאבטחה; חשוב לוודא שגם הצד התשתיתי מוגן.
- "מי כבר יתעניין בעסק הקטן שלי?", בוטים לא מחפשים אתכם אישית. הם סורקים את כל האינטרנט ומחפשים מי הכי קל לפרוץ אליו.
- "זה רק מחסן, מה כבר רואים שם?", לפעמים מה שנראה "תמים" חושף דפוסי עבודה, שעות פעילות או גישה למשהו רגיש יותר.
צ'קליסט מהיר לבעלי עסקים
הצ'קליסט הבא מרכז את כל הבדיקות במקום אחד, ואפשר לעבור עליו לבד או יחד עם ספק ה-IT. כל שורה היא בדיקה של כן או לא, ושורה שלא מתקיימת אצלכם היא הצעד הבא. הבדיקות מחולקות לחמישה נושאים: גישה מרחוק, סיסמאות והרשאות, עדכוני אבטחה, רשת וזוויות צילום.
גישה מרחוק
- [ ] אין פורטים פתוחים למצלמות מהאינטרנט (Port Forwarding בראוטר).
- [ ] אם יש גישה מרחוק, היא מתבצעת רק דרך VPN או שירות ענן עם הזדהות דו שלבית.
סיסמאות והרשאות
- [ ] כל סיסמאות ברירת המחדל הוחלפו.
- [ ] לכל מי שיש לו גישה למצלמות יש משתמש אישי, לא "משתף" כללי.
- [ ] מי שעזב את העסק, הוסרו לו הרשאות.
עדכוני אבטחה
- [ ] בדקתם באתר היצרן שיש לכם את גרסת ה-Firmware העדכנית.
- [ ] מוגדרת תזכורת ביומן לבדיקת עדכונים אחת לכמה חודשים.
רשת
- [ ] המצלמות מחוברות לרשת מופרדת, ולא ישירות לאותה רשת של המחשבים והקופות.
- [ ] אין גישה חופשית מ-Wi-Fi של אורחים למצלמות.
זוויות צילום ומידת הרגישות
- [ ] בדקתם מה באמת רואים בעדשה מכל מצלמה.
- [ ] שיניתם זווית צילום אם נלכדו מתקנים או תשתיות רגישות.
סיכום: מצלמות אבטחה, גם הן צריכות אבטחה
מצלמות אבטחה הן נכס חשוב להגנה פיזית על העסק, אבל בלי שכבת אבטחת סייבר הן עלולות להפוך לנקודת תורפה חמורה. ברוב המקרים לא צריך להחליף את המערכת. צריך להקשיח את ההגדרות (סיסמאות, פורטים, גישה מרחוק), לעדכן את הקושחה, להפריד רשתות ולוודא שהמצלמות לא משדרות לעולם דברים שאסור שיראו.
פעולה פשוטה שתעשו היום יכולה למנוע סיטואציה שבה מישהו שלא צריך, יושב בבית, וצופה בשידור חי במצלמות העסק שלכם.
המצלמות הן חלק אחד מהתמונה. אם אתם רוצים לבדוק את כל השכבות בעסק, שירותי אבטחת מידע לעסקים הם המקום להתחיל.
שאלות נפוצות
איך בודקים אם מצלמת האבטחה בעסק חשופה לאינטרנט?
מתחילים בנתב: בודקים אם מוגדר בו Port Forwarding שמפנה למצלמות או למכשיר ההקלטה (NVR). אחר כך מבקשים מאיש ה-IT לנסות לפתוח את ממשק הניהול של המצלמה מרשת חיצונית, בלי VPN. אם הממשק נפתח, המצלמה חשופה לכל האינטרנט. אם הטכנאי שהתקין את המערכת פתח פורט, בקשו ממנו במפורש לסגור אותו ולהעביר את הצפייה מרחוק ל-VPN.
מספיק להחליף את הסיסמה של המצלמה?
לא. סיסמה ייחודית וארוכה סוגרת את הדלת בפני מי שמנסה סיסמאות ברירת מחדל, אבל מצלמה עם קושחה ישנה נשארת פגיעה לפרצות שהיצרן כבר תיקן, ופורט פתוח בנתב עדיין מאפשר לכל אחד לנסות להתחבר. ההגנה עובדת כשכל השכבות קיימות יחד: סיסמה ייחודית, קושחה מעודכנת, אפס פורטים פתוחים למצלמות ורשת נפרדת.
צפייה דרך האפליקציה של היצרן בטוחה יותר מפתיחת פורט?
בדרך כלל כן, כי היא לא משאירה פורט פתוח לכל האינטרנט. אבל האבטחה עוברת לחשבון הענן של היצרן, ולכן חובה להפעיל בו הזדהות דו שלבית (2FA), להשתמש בסיסמה שלא משמשת בשום מערכת אחרת, ולבדוק מדי פעם אילו משתמשים ומכשירים מחוברים לחשבון. אפליקציה לבדה אינה ערובה לאבטחה.
כל כמה זמן צריך לעדכן קושחה של מצלמות ו-NVR?
אין תאריך אחד שמתאים לכולם, כי כל יצרן מפרסם עדכונים בקצב שלו. ההמלצה המעשית היא לבדוק באתר היצרן לפחות פעם בחצי שנה, ומיד כשמתפרסמת פגיעות חמורה בדגם שלכם. רשמו את הדגם ואת גרסת הקושחה של כל מצלמה, קבעו תזכורת ביומן, והתקינו עדכונים בשעות שבהן העסק סגור.
צריך רשת נפרדת למצלמות גם בעסק קטן?
כן, ובעסק קטן זה בדרך כלל פשוט יותר ממה שנשמע. רשת נפרדת (VLAN) או רשת ייעודית למכשירים מונעת ממצלמה פרוצה להפוך לגשר אל המחשבים, השרתים, ה-NAS או הקופות. בקשו מאיש ה-IT רשת מבודדת למצלמות, עם גישה מוגבלת החוצה ובלי גישה חזרה לשאר המשרד.
מה עושים אם מצלמה צופה על כביש או מתקן רגיש?
משנים את זווית הצילום כך שפחות תשתיות וכבישים ייכנסו לפריים, ומטשטשים אזורים רגישים אם המערכת תומכת בכך. מערך הסייבר הלאומי ממליץ לבדוק מה רואים בעדשה ולשנות זווית אם נלכד מתקן רגיש, כי מי שמשיג גישה למצלמה כזו מקבל מודיעין על דפוסי תנועה, זמני הגעה ויציאה וכוח אדם.
רוצים שנבדוק אם המצלמות בעסק שלכם פרוצות?
המומחים שלנו ב-SouliTek ישמחו לבצע סקירה מקצועית ולהתאים עבורכם תוכנית פעולה.
יוצא עולם הסייבר ההתקפי עם למעלה מ-10 שנות ניסיון בשירותי IT לארגונים. מוביל את SouliTek במתן שירותי מחשוב מנוהלים ואבטחת מידע לעסקים קטנים ובינוניים בישראל.