まず全体像です。3つのドアは独立していません。掛け算になります。たとえば「外から見えない設定（②が閉）」なら、初期パスワード（①）のままでも被害は出にくい。逆に「認証なしで丸見え（①も②も開）」だと、総当たりすら不要で映像がそのまま表示されます。冒頭で触れた国内の保育園流出は、まさに後者でした。

この「探す技術」の中身（Shodanの仕組み、Miraiの歴史、深夜に来る海外IPの正体）を深く知りたい方は、姉妹記事のShodan完全活用ガイドとIoT機器乗っ取りの真実で詳しく扱っています。本記事は「探される側」として、どのドアを閉めるかに集中します。

ネットワークカメラの多くは、工場出荷時に「admin／admin」「admin／12345」のような共通のIDとパスワードが設定されているか、いっそパスワードが未設定のまま出荷されます。設置者がこれを変えないと、攻撃者は「よくある初期パスワードのリスト」を上から順に入力するだけで入れてしまいます。これはブルートフォース（総当たり）あるいは辞書攻撃と呼ばれ、機材も専門知識もほとんど要りません。

実際の事件：初期パスワードが直接の原因だったもの

「新しい機器なら安全」でもない ―― 総務省の実測

初期パスワードの問題は「古い機器だけの話」と思われがちですが、データはもう少し複雑です。総務省が2025年6月24日に情報通信審議会へ提出した資料には、次の2つの事実が示されています。

2つ目のドアが「公開設定」です。防犯カメラを外出先のスマホから見たいという要望が、リスクの入り口になります。カメラを外から見えるようにする方法は主に次の5つで、それぞれ別の危険を持ち込みます。

日本は「認証なしで丸見え」の世界2位

公開設定が甘いと、どれくらいのカメラが実際にネットで見られる状態になっているのか。セキュリティ企業Bitsightが2025年6月に公表した調査（研究者João Cruz）は、インターネット全域をスキャンし、認証なしでライブ映像が見られるカメラを4万台超確認しました。国別の順位は次のとおりです。

Bitsightによれば「露出」の中身は2種類あります。①認証なしで管理画面ごと閲覧可能なもの、②認証はあるが、正しいパラメータを送るとスクリーンショットが返るもの。攻撃者はこうした映像から、警備の死角や従業員の動線を把握し、データセンターへの物理侵入の下見にすら使えるとしています。しかも同社はダークウェブでカメラのアクセス権が売買されていることも確認しています。

④のP2Pは「便利で危ない」代表格

近年の家庭用カメラは、面倒なポート開放をせずに外から見られるP2P（メーカーのクラウド経由でつなぐ方式）が主流です。設定は簡単ですが、そのプロトコル自体に大規模な欠陥が見つかっています。研究者Paul Marrapeseらの報告では、CS2 Network P2Pは5,000万台超（うち870万台が脆弱）、ThroughTek Kalayは8,300万台超に影響し、通信を傍受して映像・音声・認証情報を奪える恐れがありました。P2Pは「自分でポートを開けていないから安全」とは限らないのです。

国内最新：園児の着替えが、5年間ネットに流れていた

2025年11月4日、読売新聞と情報セキュリティ企業トレンドマイクロの共同調査が報じられました。2025年9〜10月に、国内外のカメラ映像を収集・公開している海外7サイトを調べたところ、「日本」に該当する映像が計約1,340件公開されていた、というものです（7サイト全体では少なくとも約27,000件）。内訳は次のとおりです。

このうち、明らかに公開を意図していない屋内・敷地内の約500件が問題視されました。とくに衝撃だったのが関西地方の保育園で、園内カメラの映像が5年間にわたり、パスワード認証なしで誰でも閲覧できる状態でした。園児の着替えが映る映像まで含まれていたと報じられています。トレンドマイクロが3台を調べたところ、少なくとも1台はパスワード認証が未設定で、ソフトウェア更新も10年以上行われていなかったといいます。これらの映像を公開していたサイトには月300万回規模のアクセスがあったとされます。

大手・クラウド型でも「自分の設定」だけでは守れない

「有名メーカーを選べば安心」とも言えません。次の3件は、利用者がパスワードを使い回してもファームウェアを放置してもいなかったのに、事業者側の一点で漏れました。

攻撃者が本当に欲しいのは映像より“踏み台”

ここが「見られて困るものはないから放置でいい」への最大の反論です。攻撃者の多くは、あなたの映像そのものより、24時間つながっていて誰も中身を見ていない小さなコンピュータが欲しいのです。乗っ取られたカメラは、DDoS攻撃の兵隊や、他人を攻撃するときの発信元を偽装する中継地にされます。その場合、記録に残るのはあなたの家のIPアドレスです。2016年に登場したMirai系マルウェアは、10年近く経った今も監視カメラと録画装置を主戦場に稼働し続けています。

ここまでの3つのドアを、あなたの状況に落とし込みます。まず自分がどのタイプかを確認してください。やるべきことは、タイプによって違います。

施設・店舗・保育所などの管理者がやること

日本：売る側の義務と、国による自己点検の代行

日本は制度面では早く動いています。2020年4月施行の端末設備等規則（第34条の10）で、ネットに直接つながるIoT機器（ウェブカメラが主対象）に、①アクセス制御、②初期パスワードの変更を促す／機器ごとに異なるパスワード、③ファームウェア更新、④電源が切れても設定を維持、の4機能が原則義務づけられました。ただし効くのはこれから出荷される機器だけで、2019年以前の“古い層”には掛かりません（第2章の83〜96%）。

そのすき間を埋めるのがNOTICE（総務省・NICT・ISPの共同事業）です。ネット上のIoT機器に、容易に推測できるIDとパスワードを実際に入力してみて、危険な機器をプロバイダ経由で利用者へ通知します。令和6年度からは対象が広がり、ファームウェアに脆弱性のある機器・すでにマルウェアに感染した機器も調べるようになりました。公式データでは、直近（2026年7月）でもID/PWが脆弱な機器が月13,753件検知されており、高止まりしています。

ラベリング制度と海外規制 ―― 2026年の早見表

見る側・流出させた側の法律

読者自身が加害者にならないための線引きも重要です。他人のカメラに、他人のID・パスワードでログインする行為は、映像を見るだけでも不正アクセス禁止法違反（3年以下の拘禁刑または100万円以下の罰金）。改ざんや窃取をしていなくても、無断でログインした事実だけで成立します。「パスワードが掛かっていなかったのだから見てもいい」という理屈は、鍵の掛かっていない他人の家に入ってよいことにならないのと同じで通りません。