Sicurezza informatica
Telecamere Dahua e cloud P2P: cosa è successo e come proteggersi
L’app funziona anche senza porte aperte sul router. Ecco perché, che cosa è stato segnalato e quali accessi controllare, a casa e in negozio.
Creato con AI
Apri l’app mentre sei fuori casa: sul telefono compare l’ingresso, oppure il banco del negozio. Le immagini arrivano anche se sul router non hai mai aperto una porta. È una comodità che usiamo senza pensarci troppo. Ma come viene stabilito quel collegamento, e chi può utilizzarlo?
L’allerta sulle telecamere Dahua riporta proprio l’attenzione sull’accesso remoto. Per capire il rischio del proprio impianto bisogna guardare insieme collegamento cloud, account e aggiornamenti. In questa guida partiamo dai fatti, seguiamo due situazioni quotidiane e arriviamo ai controlli utili.
Che cosa è successo davvero alle telecamere Dahua
Il 23 ottobre 2026 il servizio statale ucraino per la sicurezza delle comunicazioni ha pubblicato un avviso basato sulle rilevazioni CERT-UA: sono stati osservati accessi non autorizzati a telecamere IP e videoregistratori Dahua. Gli intrusi potevano vedere flussi video, modificare configurazioni e creare account estranei.
L’avviso individua nel P2P/cloud Easy4IP il principale percorso di accesso. Descrive inoltre password deboli e vulnerabilità di vecchi firmware tra i modi usati per superare l’autenticazione. Non comunica un numero complessivo di dispositivi coinvolti e non dimostra che tutti gli impianti Dahua siano stati compromessi. Leggi l’avviso originale CERT-UA.
- Accesso alle immagini: visualizzazione del flusso video.
- Modifiche al sistema: configurazioni cambiate senza autorizzazione.
- Nuovi accessi: creazione di account non riconosciuti.
Questi sono i fatti riferiti dalla fonte. La storia di una specifica famiglia o di un negozio italiano non è documentata nell’avviso.
Come fa l’app a funzionare senza porte aperte?
Una rete domestica può permettere ai dispositivi di iniziare comunicazioni verso Internet senza accettare liberamente qualsiasi collegamento in ingresso. Succede quando un computer contatta un sito e, con modalità proprie, può succedere anche a una telecamera che utilizza un servizio cloud.
Nel collegamento P2P il dispositivo contatta un’infrastruttura esterna che facilita l’incontro con l’app. La documentazione Dahua descrive servizi di registrazione Easy4IP e tecniche di attraversamento del NAT, il meccanismo con cui il router gestisce gli indirizzi della rete locale. Documentazione Dahua sul collegamento cloud.
Ecco perché la frase «gli hacker saltano il firewall» può trarre in inganno: il sistema sfrutta anche comunicazioni che la rete consente. Un controllo delle sole porte aperte lascia fuori una parte della configurazione.
Il numero di serie serve a identificare l’apparato, ma non va confuso con una password. Identificare una telecamera e ottenere il diritto di guardarla sono passaggi differenti. La sicurezza dipende anche dall’autenticazione e dal software del dispositivo.
«Funziona da anni. Ma chi la gestisce?»
L’esempio che segue è illustrativo: non descrive un cliente TecnoTorino né un’intrusione accertata.
Immagine generata o modificata mediante intelligenza artificiale.
Ambiente e dispositivi sono generici; la scena non documenta un incidente reale.Immagina una telecamera installata per controllare l’ingresso. All’epoca un familiare ha configurato l’app e condiviso l’accesso con due persone. Da allora il telefono è cambiato, ma le immagini continuano ad arrivare. Nessuno ricorda più quale account sia proprietario del dispositivo o quando sia stato aggiornato.
Nel nostro esempio, il proprietario conserva sul telefono l’app già collegata, mentre il recupero dell’account dipende da un indirizzo email che usa raramente. Finché non cambia nulla, il problema rimane invisibile. Un telefono da sostituire può diventare l’occasione per mettere ordine in accessi e recapiti.
Il fatto che tutto funzioni non risponde a queste domande. Può esserci una configurazione perfettamente legittima, ma poco conosciuta da chi oggi la usa. Il primo passo è ricostruirla, senza premere subito il pulsante di ripristino.
Da dove partire a casa
- Riconosci l’account principale: verifica chi controlla anche l’indirizzo o il recapito di recupero.
- Rivedi le condivisioni: ogni persona autorizzata deve avere ancora un motivo per accedere.
- Identifica il dispositivo: annota modello e firmware, poi verifica se il collegamento remoto usa il P2P.
Prima di disattivare il cloud, considera quando ti serve: soltanto mentre sei in casa oppure anche dall’esterno? Una modifica va pianificata in modo da conoscere le conseguenze sull’app.
Una password condivisa, troppe responsabilità
Anche questo è un esempio illustrativo, distinto dai casi documentati dalle fonti.
Immagine generata o modificata mediante intelligenza artificiale.
Il negozio è immaginario e non rappresenta un’attività coinvolta negli attacchi.In un piccolo negozio il titolare vuole guardare le telecamere quando è fuori sede. Per comodità, le stesse credenziali sono state comunicate a chi lavora al banco e a chi ha configurato l’impianto. Una persona ha poi lasciato l’attività: qualcuno ha controllato quali accessi conserva?
Qui il problema non si esaurisce nella robustezza della password. Conta anche il livello di autorizzazione: chi deve vedere una telecamera ha davvero bisogno di poter cambiare utenti e configurazioni?
Da dove partire in negozio
- Ricostruisci chi accede: persone attuali, precedenti collaboratori ed eventuali fornitori.
- Distingui visione e amministrazione: assegna i permessi secondo le necessità, usando le funzioni disponibili sul modello.
- Documenta la gestione: chiarisci chi segue aggiornamenti, account e modifiche alla rete.
Le credenziali comuni rendono meno chiaro chi abbia eseguito una modifica. Account nominativi, quando supportati, aiutano a gestire ingressi e uscite delle persone senza distribuire a tutti il medesimo accesso amministrativo.
Quando l’accesso all’account entra nella vita di casa
Nel 2023 la Federal Trade Commission statunitense ha contestato a Ring carenze nella protezione dei video e degli account. Nella documentazione del caso descrive accessi abusivi alle telecamere e ai filmati, oltre ad accessi impropri da parte di dipendenti e collaboratori.
Alcuni episodi avevano conseguenze molto concrete: secondo la FTC, gli aggressori utilizzavano anche l’audio bidirezionale delle telecamere per molestare o minacciare persone all’interno delle abitazioni. Tra i problemi indicati figuravano attacchi con credenziali recuperate da altre violazioni.
È un caso che riguarda un altro marchio e circostanze differenti rispetto all’allerta Dahua. Lo riportiamo per rendere comprensibile l’effetto di un accesso abusivo: le credenziali di una videocamera possono aprire una finestra su spazi privati. Fonte: comunicato FTC del 31 maggio 2023.
Cinque controlli per capire il proprio impianto
Puoi cominciare raccogliendo queste informazioni. Per intervenire su un impianto aziendale, concorda le modifiche con chi lo amministra: una regolazione fatta senza conoscere la rete può interrompere accessi legittimi.
-
Identifica telecamere e registratore
Annota modello completo, firmware e responsabile della gestione. Considera anche il DVR o NVR: è parte del sistema, non un semplice contenitore dei filmati.
-
Rivedi account e condivisioni
Controlla utenti locali e accessi cloud. Usa password uniche e robuste; elimina gli accessi non più necessari soltanto dopo aver chiarito a chi appartengono.
-
Verifica come funziona l’accesso remoto
Chiarisci se viene utilizzato il P2P e fai controllare eventuali porte inoltrate o mappature UPnP sul router. Se un servizio non serve, valuta come disattivarlo senza interrompere funzioni richieste.
-
Aggiorna con il firmware corretto
Confronta modello e versione con le indicazioni ufficiali. Un pacchetto destinato a un apparato dal nome simile non è automaticamente compatibile. In caso di dubbio verifica con il produttore prima di installare.
-
Controlla le regole della rete
Per l’accesso remoto valuta una soluzione gestita, come una VPN verso la rete dell’impianto. In azienda considera anche la separazione da PC e rete ospiti, con regole che limitino le comunicazioni ai servizi necessari.
Le raccomandazioni Dahua richiamano aggiornamenti, credenziali e gestione degli accessi. La verifica va adattata agli apparati presenti, evitando una lista di impostazioni da applicare alla cieca.
Se trovi qualcosa che non riconosci
Un account dal nome insolito può appartenere a chi ha installato l’impianto, oppure richiedere un approfondimento. Lo stesso vale per una configurazione diversa da quella che ricordavi: un singolo dettaglio non identifica da solo un attacco.
Annota ciò che osservi e conserva le informazioni disponibili. Prima di cancellare utenti, filmati o registrazioni dei log, coinvolgi il responsabile dell’impianto. Se sospetti un accesso non autorizzato in corso, concorda subito come limitarlo preservando gli elementi utili alla verifica.
Evita di inviare password, codici di recupero o video privati in una prima richiesta di assistenza. Per descrivere il dubbio sono più utili modello, versione, modalità di accesso e una spiegazione del cambiamento osservato.
Tre chiarimenti, se vuoi approfondire
Una password nuova risolve anche le vulnerabilità?
Una password robusta protegge l’account, ma non corregge un difetto del firmware. Dahua ha pubblicato nel 2021 il bollettino sulle CVE-2021-33044 e CVE-2021-33045, che riguardano l’aggiramento dell’autenticazione su prodotti e versioni specifici. Non sono falle appena scoperte, né una prova che ogni modello attuale sia coinvolto. Per il proprio apparato occorre verificare la corrispondenza esatta con il bollettino del produttore.
Basta installare un’app VPN sul telefono?
Una generica app VPN per navigare non configura automaticamente l’accesso sicuro alla rete delle telecamere. Serve un collegamento verso quella rete, con account, autorizzazioni e aggiornamenti gestiti. Anche la VPN è un componente da proteggere e mantenere. La guida congiunta CISA e partner sull’accesso alle reti richiama i rischi di vulnerabilità e configurazioni troppo permissive.
Se proteggo gli accessi, sono al sicuro anche i filmati?
La sicurezza degli accessi e la conservazione delle registrazioni richiedono controlli diversi. Nessun hard disk o altro supporto è esente da guasti: per i filmati importanti prevedi una copia separata, protetta e coerente con le regole di conservazione applicabili. Un secondo disco nello stesso registratore non è automaticamente un backup indipendente. Nella guida TecnoTorino ai NAS trovi la distinzione tra archiviazione, ridondanza e backup.
Fonti e immagini
I fatti Dahua e Ring provengono dalle fonti ufficiali collegate nel testo. Gli scenari di casa e negozio sono esempi costruiti per spiegare i controlli e non casi del laboratorio. Le relative immagini sono generate con AI; gli schemi sono illustrazioni concettuali preparate per questa guida.
