この記事全体を貫く比喩を、最初に1つ置きます。

ネットにつながった防犯カメラは、防犯装置であると同時に、家の壁に窓を1つ増やす工事でもあります。

ふつうの窓は、外から中が見えます。だからカーテンを引きます。ところが「スマホからいつでも見られるカメラ」というのは、原理的に言えば世界中のどこからでも覗ける窓を、自分で壁に取り付ける行為です。そこにカーテン（＝パスワードと暗号化）を掛け忘れると、窓は開きっぱなしになります。

ここで多くの人がつまずくのが「でも、うちの窓の場所なんて誰も知らないはずだ」という感覚です。この感覚が、そもそもの間違いです。インターネットの住所（IPアドレス）は、住宅街のように名前で探すものではありません。全戸に連番が振られた、巨大な集合住宅だと思ってください。1号室から順にノックしていけば、いつかは必ずあなたの部屋に着きます。しかもその「順にノックする」作業は、人間ではなく機械が、寝ている間にやってくれます。

この前提で、冒頭の3つの現象を先に答え合わせしておきます。詳しい根拠は第2章以降で1つずつ潰していきます。

表の最後の行が、この記事でいちばん伝えたい部分です。「うちには見られて困るものなんて映っていない」という反論は、半分しか的を射ていません。攻撃者にとって、あなたのカメラの価値は「映像」ではなく「常時電源が入っていて、24時間ネットにつながっていて、誰も中身を見ていない小さなコンピュータ」という点にあります。それは、他人を攻撃するための拠点として、極めて優秀な物件なのです。

まず、いちばん怖がられている現象から解体します。深夜の海外IPアクセスです。

結論を言うと、これはあなたに起きた特別なことではありません。全員に、毎日、何度も起きています。気づいているかどうかの差しかありません。

インターネット全体を「5分」で一周する道具がある

2013年、ミシガン大学の研究チームが ZMap という高速スキャナを発表しました。論文で示された性能はこうです。ギガビット回線1本で、インターネット上のIPv4アドレス空間ぜんぶを、45分以内に1周できる。その後の改良版では10ギガビット回線を使い、4分半で1周、毎秒1,500万回の到達確認を投げられるところまで来ました。

これは攻撃ツールではなく、学術研究のために公開されたオープンソースです。しかし性能は誰が使っても同じです。つまり「インターネットは広いから見つからない」という前提は、2013年の時点で終わっていました。今は、地球上のすべての住所を数分でノックできる時代です。

日本の観測データ：1つのIPアドレスに年間250万パケット

感覚の話ではなく、日本の公的機関が実際に数えています。情報通信研究機構（NICT）は、使われていないIPアドレスに届く通信を大規模に観測する NICTER という仕組みを運用しており、その年次レポート（2026年2月公開・2025年分）では次の数字が出ています。

1アドレスあたり年250万パケット。単純に割れば1日あたり約7,000回です。つまりログに海外IPが1件残っていたことに驚くのは、順序が逆で、本当は毎日何千回もノックされている中の、たった1回がたまたま記録に残っただけ、という話なのです。

もう1つ、このレポートで注目すべき指摘があります。Telnetという昔ながらの入り口への通信は減った一方で、「その他のポート」への通信が増えている。そして狙われ続けているのは「家庭用ルータや監視カメラの録画機器など、利用者が感染に気付きにくい機器」だと名指しされています。パソコンなら動作が重くなれば気づきます。カメラは、乗っ取られても今日も同じ映像を映し続けます。気づきにくさそのものが、狙われる理由になっているわけです。

では、そのノックの中身は何か

深夜のアクセスログに残るのは、だいたい次のどれかです。危険度の順に並べます。

ログを見るとき、本当に怖いのは「失敗が大量に並んでいる行」ではありません。「1回で成功している行」です。失敗の山は、単に総当たりが弾かれた記録にすぎません。一方で見知らぬ場所からの一発成功は、あなたのパスワードがすでに攻撃者の手元にあることを意味します。

※ 上のIPアドレスは、文書内の例示専用としてRFC 5737で予約されている範囲を使った架空の値です。実在の機器とは関係ありません。

この話題になると必ず名前が挙がるのが Shodan（ショーダン） です。「ハッカーのGoogle」「世界一恐ろしい検索エンジン」と紹介されることが多く、実際その説明は半分は当たっています。ただ、半分は外れています。

Googleとの決定的な違い

Googleが索引にしているのはWebページの中身です。対してShodanが索引にしているのは機器そのものの自己紹介です。

インターネット上の機器は、外から接続されると「私は◯◯というソフトのバージョン△△です」といった短い応答を返します。これをバナーと呼びます。玄関のインターホンに出た人が、聞かれてもいないのに名前と勤務先を答えてしまうようなものです。Shodanは世界中の機器に片端から接続し、このバナーをひたすら集めて検索できるようにしている、それだけのサービスです。

つまりShodanは何も破っていません。鍵を壊すのではなく、玄関先で誰でも聞ける自己紹介を書き留めて回っているだけです。だから合法ですし、実際の主要な利用者はセキュリティ企業や研究者、そして「自社の機器がうっかり外に出ていないか」を点検する情報システム部門です。

問題は「スクリーンショット」機能

ただし、カメラの話に限っては事情が少し重くなります。Shodanは公式に、RDP・Webカメラ・X11・VNC・RTSP といったサービスについて、応答から画面のスクリーンショットを取得して保存していることを明らかにしています。しかもその画像は機械学習でラベル付けされ、画像内の文字が抽出されてバナーに追記されるため、画像の中身まで検索対象になります。

ここで鍵になるのが RTSP（Real Time Streaming Protocol、標準は554番ポート）です。ネットワークカメラの映像配信で広く使われるこの仕組みは、認証を設定していなければ、接続しただけで映像が出ます。Shodanのようなスキャナから見ると、それは「1枚静止画を撮って次へ行く」だけの作業になります。

Shodan・Censys・Insecam・NOTICE ―― 似て見えて全部違う

この分野には紛らわしい名前が並びます。「機器を探す」という表面は同じでも、目的も合法性もまったく別物なので、一度整理しておきます。

注目してほしいのは、この5者が使っている「探し方」が本質的に同じだという点です。全域を順にノックして、応答を見る。違うのは、応答を見つけたあとに何をするかだけです。索引に載せるか、本人に知らせるか、映像を晒すか、乗っ取るか。技術は中立で、分岐するのは目的のところだけという、この分野の典型的な構図がここにあります。

唯一やっていい使い方：自分のIPを引く

Shodanで検索してよいのは、原則として自分が管理している機器だけです。具体的には、自宅のグローバルIPアドレス（「確認くん」のようなIP確認サイトで分かります）をShodanの検索窓にそのまま入れて、何が出るかを見ます。

都市伝説のクライマックスがここです。誰も触っていないのに、カメラが動いた。

正直に書きます。この現象には、まったく無実の説明が2つあります。そして、本物の侵入という説明も1つあります。順番に潰していきましょう。怖がる前に切り分けるのが、セキュリティの作法です。

説明①：そもそもカメラは自分で動くように作られている

首振り機能つきのカメラは PTZ（Pan＝左右、Tilt＝上下、Zoom＝拡大）と呼ばれます。そしてPTZカメラの多くには、はじめから次のような自動機能が載っています。

とくに厄介なのが最後の行です。ナイトモードの切り替えは機械的な動作なので、深夜に小さな作動音が鳴ります。「夜中にカメラから音がした」の相当数は、これです。

説明②：正規の権限を持つ「知っている誰か」

次に多いのが、これです。カメラのアプリは、たいてい複数の端末やアカウントを共有できます。

• 家族が外出先からアプリを開き、映りを確かめるために向きを変えた
• 設置業者のアカウントが残ったままで、保守作業として操作された
• 以前の同居人・元交際相手の端末が、共有設定に残り続けている
• 中古やレンタル物件で引き継いだ機器に、前の持ち主のアカウントが生きている

3つめは笑い事ではありません。ストーカー被害の相談では、この「共有解除のし忘れ」が繰り返し登場します。侵入されていないのに、正規のログインで覗かれているという、いちばん見つけにくい形です。

説明③：本物の侵入 ―― そして、本当に操作できる

そのうえで、はっきり書いておきます。攻撃者がカメラの向きを変えることは、技術的に十分可能です。

理由は単純で、PTZの操作は、映像を見るのと同じ管理画面から行う機能だからです。管理者としてログインできた相手には、映像を見る権限も、首を振る権限も、録画を消す権限も、設定を書き換える権限も、まとめて渡ってしまいます。「見るだけなら奪えるが、動かすのは無理だろう」という直感は、ここでは成り立ちません。

さらに深刻なのが、ログイン画面すら通らずに入られる場合です。たとえば CVE-2021-36260 は、Hikvision製のIPカメラ・PTZカメラ・録画装置（NVR）などのWebサーバ部分にあったコマンドインジェクションの脆弱性で、認証なしの遠隔から、機器上でroot権限のコマンドを実行できるというものでした。深刻度はCVSSで9.8。この脆弱性は米国CISAの「悪用が確認された脆弱性カタログ」（KEV）に収録されており、実際に攻撃に使われた実績があることが公的に確認されています。

切り分けの手順：この順番で確かめる

3以降に該当した場合、いちばんやってはいけないのが「パスワードだけ変えて様子を見る」ことです。機器そのものに侵入されている場合、パスワード変更では追い出せません。正しい手順は、ネットから切り離す → ファームウェアを最新にする → 工場出荷状態に戻す → そのうえで新しいパスワードで初期設定をやり直す、です。順番を守ってください。

ここからは、都市伝説ではありません。報道され、調査され、裁判や行政処分の記録が残っている事件だけを並べます。読み終わる頃には、冒頭の「怖い話」がむしろおとなしい部類に思えてくるはずです。

File 01｜日本・2025年11月 ―― 保育園の映像が、5年間ずっと流れていた

2025年11月4日、読売新聞と情報セキュリティ企業トレンドマイクロの共同調査の結果が報じられました。2025年9月から10月にかけて海外で運営されている7つのサイトを調べたところ、「日本」に該当する映像が計約1,340件公開されていたというものです。内訳は次のとおりです。

このうち、明らかに公開を意図していない屋内・敷地内の約500件が問題視されました。とくに衝撃だったのが関西地方の保育園の事例です。園内のネットワークカメラの映像が5年間にわたって流出しており、園児の着替えが映る映像まで、パスワード認証なしで誰でも閲覧できる状態でした。原因はカメラのパスワードが未設定だったこと、そしてソフトウェアの更新が10年以上行われていなかったことだと見られています。

さらに、これらの映像が公開されていたサイトには月300万回規模のアクセスがあり、中には静止画を保存する機能を備えたサイトもあったと報じられています。

なお神戸大学の森井昌克教授は、2025年11月の解説記事で、日本国内では依然として400件程度がこうしたサイトで公開され続けていると指摘しています。2016年初頭には6,000件を超えていたことを考えれば減少はしていますが、EU諸国が数十件規模であることと比べると、日本の水準はなお高いという評価です。

File 02｜世界・2014年〜 ―― Insecam、「注意喚起」を名乗る展示場

Insecamは2014年に匿名の運営者が立ち上げたサイトで、初期パスワードのままのIPカメラの映像を、国別・機種別に一覧化して公開しています。開設当初は152か国・約73,000台が掲載されていました。

ここで重要なのは手口です。Insecamは何かを破っているわけではなく、「admin」「12345」といった出荷時のIDとパスワードをそのまま試しているだけです。通れば一覧に載る。それだけの仕組みで、7万台以上が集まってしまいました。国際的な批判を受けて運営者は一度すべての配信を削除しましたが、その後「街頭・交通・オフィスなど公共性のあるカメラに限る」というフィルタをつけて再開しています。2025年時点でも、なお2,000を超える配信が閲覧可能とされています。

File 03｜米国・2021年 ―― Verkada、15万台がまとめて

企業向け防犯カメラの大手Verkadaで、2021年3月8日から約36時間にわたり、およそ15万台のカメラのライブ映像と録画が外部から見られる状態になりました。対象には学校、病院の集中治療室、刑務所の房内、取調室、ジム、そして個人宅が含まれていました。

侵入の手口は、悪夢のように単純です。「スーパー管理者」権限を持つアカウントの認証情報が、インターネット上で公開された状態になっていたのです。社内の開発システムが意図せず外部に露出し、暗号化されていないサブドメインにシステムアカウントの資格情報が埋め込まれていました。これを見つけた側は、全顧客の全カメラにアクセスできました。

実行したのは「APT-69420 Arson Cats」を名乗るグループの一員で、その後2021年3月に大陪審によって起訴されています。またVerkada自身も、2024年8月に米連邦取引委員会（FTC）から、映像や個人データの保護を怠ったとして措置を受けました。

File 04｜米国・2019年 ―― 「僕はサンタクロースだよ」

2019年12月、ミシシッピ州の家庭で、8歳の女の子が自室で遊んでいると、設置したばかりのRing製カメラのスピーカーから見知らぬ男の声が話しかけてきました。男は自分をサンタクロースだと名乗り、部屋を壊すようそそのかしました。カメラを設置してから、わずか4日後の出来事でした。

手口は、この記事で何度も出てきたクレデンシャルスタッフィングです。まったく別のサービスから漏れたIDとパスワードの組み合わせを、そのままカメラのアカウントに試す。使い回していれば、一発で通ります。第2章のログの話を思い出してください。失敗が800行並ぶより、成功が1行あるほうが怖いというのは、こういうことです。

Ringについては2023年5月、FTCが正式に措置を取りました。認定された事実は次のとおりです。

File 05｜米国・2020年 ―― 敵は外にいるとは限らない

ホームセキュリティ大手ADTの技術者だったTelesforo Aviles は、約4年半にわたり、顧客およそ200アカウントに9,600回以上も無断でアクセスしていました。手口は会社の規定に反して、設置作業の際に自分の個人メールアドレスを顧客のアカウントに追加するというものでした。これで、顧客宅の映像をいつでもリアルタイムで見られるようになります。彼は魅力的な女性がいる家を選んで、繰り返しログインしていました。2021年1月に有罪を認め、同年6月に連邦刑務所での52か月の服役を言い渡されています。

この事件が突きつけるのは、「設置してくれた人を信用してよいのか」という、技術では解けない問いです。設置後にアカウント一覧を自分の目で確認する。これだけで防げました。

File 06｜米国・2024年 ―― 侵入ゼロでも、映像は漏れる

2024年2月16日、Wyze製カメラで大規模な障害が発生しました。AWS側の問題に起因する停止から復旧する際、約13,000人の利用者のアプリに、他人のカメラのサムネイル画像が表示されたのです。そのうち1,504人が実際にそれをタップし、拡大画像や録画イベントを見てしまいました。

原因は攻撃ではありません。新しく組み込まれたサードパーティのキャッシュ用ライブラリが、全機器が一斉に復帰したことによる想定外の負荷にさらされ、本来切り分けられているはずの利用者どうしのデータが混ざったことによるものでした。

File 07｜世界・進行中 ―― あなたのカメラが「兵隊」にされる

最後が、いちばん規模の大きな話です。第1章で「攻撃者にとっての価値は映像ではない」と書いた、その本体にあたります。

2016年に登場した Mirai は、初期パスワードのままのIoT機器を大量に感染させ、それらを一斉に動かして巨大なDDoS攻撃を行うマルウェアでした。ソースコードが公開されたため、その後は無数の亜種が生まれ、10年近く経った今も現役で稼働し続けています。そしてその主戦場は、まさに監視カメラと録画装置です。

最後の行を、もう一度読んでください。「修正パッチが存在しない」。サポートが終了した機器に、新しい脆弱性が見つかった場合、そこには手の打ちようがありません。残された選択肢は、ネットから外すか、買い替えるかの二択です。

そして警察庁は2025年上半期の情勢報告で、セットトップボックスなどのIoT機器がプロキシとして動作するマルウェアに感染し、これらの機器を経由してアクセス元を偽装する手口を脅威として位置づけ、注意喚起を行っています。つまり、あなたの家のカメラを踏み台にして誰かが犯罪を行った場合、記録に残るのはあなたの家のIPアドレスだということです。

ここまで読むと絶望的に思えるかもしれませんが、日本は手をこまねいていたわけではありません。制度としては、世界的に見てもかなり早い段階で手を打っています。

2020年4月：売る側に義務が課された

電気通信事業法に基づく端末設備等規則の改正が2020年4月1日に施行され、ネットワークに直接つながるIoT機器には、次の3つの機能を備えることが原則として義務づけられました。

ここまで読んできた事件のほとんどが、この3つのどれかに当てはまることに気づいたでしょうか。制度としては、正しい急所を押さえています。

ただし「2019年以前に買ったもの」には効かない

問題は、この義務がこれから出荷される機器にしか掛からないことです。総務省が2025年6月に情報通信審議会へ提出した資料では、ID・パスワードの脆弱性調査で発見された危険な機器のうち、規則改正前にあたる2019年以前に発売されたものが全体の83〜96%程度を占めることが示されています。

NOTICE ―― 国があなたに代わって探してくれる仕組み

NOTICE（National Operation Towards IoT Clean Environment）は、総務省とNICTが行っている取り組みです。インターネット上のIoT機器に対して、容易に推測できるIDとパスワードを実際に入力してみるなどして、攻撃に悪用されるおそれのある機器を調べ、その情報をインターネットプロバイダに通知し、プロバイダから利用者本人へ注意喚起してもらうという仕組みです。

そして令和6年度からは新しいNOTICEが始まり、対象が広がりました。

ここで、第3章の表を思い出してください。NOTICEがやっていることは、技術的には Shodan や Insecam や Mirai とほとんど同じです。全域を探索して、通ってしまう機器を見つける。違うのは、見つけたあとに「本人に知らせる」ことだけです。同じ技術が、法律と目的の裏づけを得ると公共サービスになる、という好例と言えます。

あなたの側の法律：見る行為も違法になりうる

最後に、読者自身が加害者にならないための線引きです。

「パスワードが掛かっていなかったのだから見てもいいはずだ」という理屈は通りません。鍵の掛かっていない他人の家に入ってよいことにならないのと同じです。

ここまでを、あなたの状況に落とし込みます。まず自分がどれに当てはまるかを確認してください。やるべきことは、パターンによって違います。

今夜できる7つの確認

所要時間はだいたい20分です。上から順にやってください。

そもそも論：本当に「外から見る」必要があるか

最後に、いちばん効く対策を書きます。それは技術ではなく、判断です。

この記事で扱った事故の大半は、「外出先からスマホで見たい」という要望が出発点になっています。その機能を諦めれば、リスクの大部分は消えます。録画だけできれば十分なら、ネットにつながないカメラ（SDカード録画やローカルNVRのみ）という選択肢があります。防犯目的が「あとから確認する」ことなら、それで足ります。