סייבר במצלמות IP: ההתרעות בישראל, המגבלות בארה"ב ומה עושים בפועל

מצלמת IP היא מחשב לכל דבר: יש בה מערכת הפעלה, שירותי רשת, סיסמאות ועדכוני תוכנה. לכן היא גם יעד לתקיפות – מהשתלטות לצורך ריגול ועד ניצול המצלמה כנקודת כניסה לרשת הארגונית. הנושא עלה לכותרות בישראל במיוחד מאז אוקטובר 2023.

מה פרסם מערך הסייבר הלאומי

מערך הסייבר הלאומי פרסם אזהרות לבעלי מצלמות (אוקטובר 2023, עם עדכונים ב-2024), ובהמשך התרעה דחופה לנתק מצלמות מהאינטרנט או להגביל את הגישה אליהן, לאחר שזוהו ניסיונות להשתלט על מצלמות לצורכי איסוף מודיעין. במסמך ההמלצות של המערך למצלמות אבטחה צוין כי בשנת 2022 אותרו עשרות אלפי מצלמות חשופות לאינטרנט בישראל. המערך אינו מאשר או פוסל יצרנים ספציפיים; ההמלצות עוסקות בהגדרות, בעדכונים ובאופן החיבור לרשת.

המגבלות בארה"ב

בארה"ב קיימות מגבלות רגולטוריות על ציוד של יצרנים סיניים מסוימים, ובהם Hikvision ו-Dahua:

• סעיף 889 לחוק ה-NDAA לשנת 2019 אוסר על גופים פדרליים לרכוש ציוד מעקב וידאו של יצרנים אלה למטרות מסוימות, ולהתקשר עם גופים שמשתמשים בו.
• ה-FCC הכליל את היצרנים ברשימת הציוד המכוסה (Covered List) מאז 2021.
• בהחלטה FCC 22-84 (נובמבר 2022) נאסר מתן אישורי ציוד חדשים לציוד מעקב וידאו של יצרנים אלה למטרות ביטחון ציבורי, מתקנים ממשלתיים, תשתיות קריטיות ומטרות ביטחון לאומי, עד לאישור תוכניות שיווק מתאימות. האישורים הקיימים לא בוטלו באופן אוטומטי.

בישראל לא נמצאה הוראה רשמית כללית האוסרת שימוש במצלמות של יצרן מסוים בכלל המשק. גופי מחקר, כמו המכון למחקרי ביטחון לאומי (INSS), המליצו ב-2026 לשקול מעבר הדרגתי באתרים רגישים. ארגונים בתחומים רגישים, ספקים של גופים ממשלתיים או חברות עם פעילות בארה"ב צריכים לבדוק את הדרישות החלות עליהם.

זוהר מצלמות עובדת עם מספר יצרנים ומשווקים מורשים, וכך ניתן להתאים את בחירת הציוד לדרישות הלקוח ולמדיניות שלו – ללא תלות ביצרן אחד.

ההקשר האירופי והבריטי

באירופה אושר חוק חוסן הסייבר (Cyber Resilience Act), שיחייב בהדרגה יצרנים של מוצרים עם רכיבים דיגיטליים לעמוד בדרישות אבטחה ולספק עדכונים, כאשר עיקר החובות יחולו מסוף 2027. בבריטניה נכנס לתוקף באפריל 2024 חוק PSTI, האוסר בין היתר על סיסמאות ברירת מחדל אחידות במוצרים מחוברים. מגמות אלה צפויות להשפיע על כל שוק המצלמות, כולל בישראל.

צעדים מעשיים להקשחה

• לא לחשוף מצלמות ומקליטים ישירות לאינטרנט (פתיחת פורטים). גישה מרחוק – דרך VPN או פתרון ענן מאובטח.
• להחליף סיסמאות ברירת מחדל בסיסמאות חזקות וייחודיות, ולנהל משתמשים לפי הרשאות.
• לעדכן קושחה באופן קבוע ולהחליף ציוד שהיצרן הפסיק לתמוך בו.
• להפריד את רשת המצלמות מהרשת הארגונית (VLAN, חומת אש).
• לנטרל שירותים שאינם בשימוש כמו UPnP, P2P או Telnet.
• לתעד את כל הציוד: דגם, גרסת קושחה, כתובת IP ומיקום.
• לבצע בדיקה תקופתית כחלק מחוזה השירות.

איך נראית תקיפה טיפוסית

ברוב המקרים אין צורך בפריצה מתוחכמת. מנועי חיפוש ייעודיים סורקים את האינטרנט ומאתרים מכשירים חשופים, ומשם התוקף מנסה סיסמאות ברירת מחדל או מנצל חולשה ידועה בקושחה שלא עודכנה. אחרי השתלטות, המצלמה יכולה לשמש לצפייה, לשיבוש, או כנקודת קפיצה לרשת הפנימית. לכן שני הצעדים הבסיסיים – ביטול חשיפה ישירה לאינטרנט וסיסמאות חזקות – חוסמים חלק גדול מהסיכון.

בדיקה עצמית קצרה לארגון

• האם יש פורטים פתוחים בנתב שמפנים למקליט או למצלמות?
• מתי עודכנה הקושחה לאחרונה, והאם הדגם עדיין נתמך?
• מי מחזיק את סיסמת המנהל, והאם היא ייחודית לכל אתר?
• האם רשת המצלמות מופרדת מרשת המחשבים?
• האם מופעלים שירותי P2P/ענן של היצרן, והאם זה מכוון?

ניהול סיכון בבחירת ציוד

ארגון שמבקש להתאים את עצמו למדיניות מסוימת לגבי יצרנים יכול להגדיר זאת במסמך הדרישות: רשימת יצרנים מותרים, דרישה לתמיכה בעדכוני אבטחה לתקופה מוגדרת, ודרישה לאפשרות לנטרל שירותי ענן. כך ההחלטה מתקבלת מראש ובאופן שקוף, ולא בדיעבד.

מה לגבי מערכות קיימות

החלפה גורפת של מערכת קיימת היא החלטה עסקית ותקציבית. במקרים רבים אפשר להקטין סיכון משמעותית כבר עכשיו באמצעות הקשחה, הפרדה ועדכון, ולתכנן החלפה הדרגתית לפי רגישות האתרים – בדומה להמלצות שפורסמו לגבי אתרים רגישים.

שירותי P2P וענן של היצרן

מצלמות ומקליטים רבים כוללים שירות "חיבור קל" לאפליקציה באמצעות ענן של היצרן (P2P). השירות נוח, אבל המשמעות היא שהמכשיר מתקשר החוצה לשרתים חיצוניים. ארגון צריך להחליט באופן מודע אם זה מקובל עליו: אם כן – לוודא שהחשבון מוגן בסיסמה חזקה ובהזדהות נוספת; אם לא – לנטרל את השירות ולהשתמש ב-VPN או בפתרון ניהול מאושר. ההחלטה הזו צריכה להיות מתועדת ולא תוצאה של ברירת מחדל.

עדכוני קושחה בפועל

עדכון קושחה אינו פעולה של לחיצה אחת בכל מקרה: יש לבדוק תאימות עם המקליט ועם התוכנה, לעדכן קודם מכשיר אחד לבדיקה, ולגבות הגדרות לפני העדכון. בחוזה שירות כדאי להגדיר תדירות לבדיקת עדכונים זמינים.

לסיכום

סייבר במערכות מתח נמוך אינו עניין של יצרן אחד אלא של תכנון, הגדרה ותחזוקה. ארגון שבוחן ציוד חדש צריך לשלב את דרישות הרגולציה הרלוונטיות לו, את המלצות מערך הסייבר ואת ההקשחה הבסיסית – וכך להקטין משמעותית את הסיכון.