Como proteger câmera IP contra acesso remoto indevido

Câmeras IP podem ser alvo de invasão quando estão acessíveis pela internet, transmitem dados sem criptografia ou guardam imagens pessoais. Um caso analisado pela ESET em 2019, o da câmera em nuvem D-Link DCS-2132L, ilustra esses riscos: parte do tráfego não era criptografada e cerca de 1.600 dispositivos estavam expostos. O risco aumenta quando a câmera está alcançável de fora ou quando a comunicação pode ser interceptada.

Por que câmeras IP são alvo de invasão?

Exposição à internet e varreduras automatizadas

Uma câmera acessível de fora da rede doméstica tem um endereço público e uma porta aberta. Esse ponto de entrada pode ser encontrado por varreduras automatizadas, que não miram uma casa específica, mas procuram qualquer dispositivo com a mesma interface exposta. Por isso, a câmera pode ser encontrada mesmo que o proprietário não seja um alvo específico.

No caso D-Link, segundo a ESET (2019), o UPnP podia expor a porta 80, que dá acesso à interface HTTP, na internet sem o consentimento do usuário, e cerca de 1.600 dispositivos estavam expostos na época.

Tráfego não criptografado e ataques man-in-the-middle

Quando parte da comunicação entre a câmera e o serviço não é criptografada, quem estiver no mesmo trecho de rede pode ler ou alterar os dados. Esse tipo de interceptação é chamado de man-in-the-middle: o atacante se posiciona entre o dispositivo e o destino, sem precisar quebrar senhas.

A ESET identificou esse problema na D-Link DCS-2132L.

Vídeo privado e impacto na privacidade doméstica

As imagens de uma câmera registram rotina, presença e interior da casa. Um acesso não autorizado pode expor a rotina e a privacidade de quem vive no local, e não apenas comprometer o equipamento.

A Kaspersky recomenda preferir armazenamento local (microSD ou NAS) a serviços em nuvem, mas o equipamento local também precisa ser protegido.

Troque senhas de fábrica e ative autenticação em dois fatores

A senha padrão é o caminho mais simples para um acesso remoto indevido, porque quem a conhece entra pelo aplicativo ou pela interface web sem explorar nenhuma falha. Segundo a Kaspersky, o usuário e a senha de fábrica devem ser trocados por credenciais únicas e fortes, e a câmera deve ter autenticação em dois fatores (2FA) ou passkeys ativados quando o equipamento oferecer essas opções.

Substitua as credenciais padrão antes de habilitar o acesso remoto

Faça a troca no primeiro acesso, antes de ligar a câmera à internet ou ao serviço em nuvem do fabricante:

• Altere também o nome de usuário de fábrica, como admin, e não apenas a senha.
• Use uma senha longa e exclusiva, gerada ou guardada em gerenciador de senhas, sem reaproveitá-la de outros serviços.
• Confirme que a senha antiga deixou de funcionar, testando o login no aplicativo e na interface web.

Ative 2FA ou passkeys quando o modelo oferecer

A disponibilidade varia por fabricante e por modelo. Procure a opção nas configurações de segurança da conta do fabricante ou no aplicativo da câmera.

Limite contas e permissões por perfil

Use uma conta administrativa apenas para configuração. Para o uso do dia a dia, crie contas separadas com permissões restritas, se o sistema permitir. Remova contas antigas de pessoas que já não utilizam a câmera. Como a nomenclatura de perfis e permissões varia entre fabricantes, confirme no manual ou na documentação do modelo quais níveis existem.

Mantenha o firmware atualizado

Antes de comprar uma câmera IP, avalie o histórico de suporte do fabricante e a frequência com que ele publica atualizações de firmware. Depois da instalação, confira periodicamente se há versões novas, porque o firmware corrige falhas que podem permitir acesso remoto indevido. A Kaspersky recomenda pesquisar esse histórico antes da compra e manter o firmware atualizado.

Avaliar o suporte do fabricante antes da compra

Antes de comprar, procure respostas para estas perguntas:

Se o fabricante não publica informações sobre suporte ou não tem histórico de atualizações para o modelo, trate essa ausência como um risco na avaliação.

Verificar atualizações pelo aplicativo ou painel web

Nas configurações da aplicação do fabricante ou da interface web da câmera, procure uma entrada de atualização de firmware, geralmente indicada como «Atualização de firmware» ou «Sistema». Compare a versão instalada com a versão mais recente indicada no site oficial do fabricante. Quando a câmera não oferecer a verificação automática, consulte a página de suporte do modelo com a periodicidade que você definir.

Confirmar a autenticidade do firmware

Um firmware sem verificação de autenticidade pode, em princípio, ser substituído por uma versão alterada sem que o dispositivo a rejeite. Pesquisadores da ESET constataram que o firmware da câmera em nuvem D-Link DCS-2132L não tinha verificação de autenticidade; separadamente, parte do tráfego não era criptografada, o que permitia ataques man-in-the-middle. Para reduzir esse risco:

• baixe arquivos de atualização apenas da página oficial do fabricante ou pela própria aplicação;
• confirme o modelo e a versão exatos antes de instalar;
• não instale firmware de fóruns, repositórios de terceiros ou mensagens recebidas por outros canais.

Identificar modelos fora de suporte ou descontinuados

Quando um fabricante encerra o suporte de um modelo, em geral deixa de publicar correções de segurança, e vulnerabilidades conhecidas podem permanecer. Para verificar a situação do seu equipamento:

1. Localize o modelo exato, incluindo o código impresso na etiqueta do produto.
2. Procure na página de suporte do fabricante a data de fim de suporte ou um aviso de descontinuação.
3. Se a última atualização for antiga ou o modelo não aparecer mais na página de suporte, avalie a substituição ou restrinja o acesso da câmera à rede local.

Desative UPnP, P2P e recursos que você não usa

Desligar as funções de exposição automática e os recursos ociosos reduz a superfície de ataque da câmera. Três pontos concentram o risco: o UPnP do roteador, o P2P da câmera e o reconhecimento por IA quando não é utilizado.

UPnP no roteador

No caso da D-Link, a ESET recomenda desativar o UPnP no roteador.

Para fazer isso:

1. Acesse o painel administrativo do roteador, pelo endereço indicado no manual.
2. Localize a opção UPnP. O caminho do menu varia por fabricante, então consulte as instruções do modelo.
3. Desative a opção.

P2P e reconhecimento por IA

A Kaspersky inclui o P2P e o reconhecimento por IA entre os recursos desnecessários que devem ser desativados. Antes de desligar o P2P, verifique no manual se o acesso remoto pelo aplicativo do fabricante depende dele, porque a conexão pode deixar de funcionar.

Armazenamento local em vez da nuvem

A Kaspersky recomenda preferir armazenamento local, como cartão microSD ou NAS, a serviços em nuvem. Muitas câmeras aceitam microSD diretamente, e um NAS pode receber as gravações pela rede local. Assim, as imagens ficam menos dependentes de servidores do fabricante, mas o armazenamento local também precisa ser protegido. Caso use NAS, mantenha-o na rede local e não crie redirecionamento de porta para ele.

Como acessar a câmera de fora sem expor a porta?

Uma alternativa ao encaminhamento direto de porta é acessar a rede doméstica por uma VPN, em vez de expor a câmera. Essa é uma prática geral, não uma recomendação da ESET ou da Kaspersky citadas aqui. Há duas alternativas práticas e uma regra de decisão para áreas sensíveis.

VPN no roteador ou no NAS como ponto de entrada

Com uma VPN ativa no roteador ou em um NAS da rede doméstica, o celular ou notebook cria um túnel criptografado até a rede de casa e acessa a câmera pelo IP interno. A câmera não precisa de encaminhamento de porta, e apenas o serviço VPN fica acessível de fora, o que exige credenciais fortes e manter o servidor VPN atualizado.

Antes de depender dessa opção, confirme no manual do roteador ou do NAS se ele oferece servidor VPN, porque nem todos os modelos oferecem. O cliente VPN também precisa estar instalado e testado no celular, fora de casa.

Verificação da porta 80 exposta à internet

A ESET recomenda verificar se a porta 80 não está exposta publicamente. A porta 80 é a interface HTTP usada por muitas câmeras.

Para checar:

1. Abra a lista de encaminhamento de portas ou de servidores virtuais do roteador e procure regras que apontem para o IP da câmera na porta 80. Remova as que não foram criadas de propósito.
2. Saia da rede Wi-Fi de casa, usando dados móveis, e tente abrir no navegador o endereço público da rede na porta 80. Se a página de login da câmera responder, a porta está acessível de fora. Se não responder, isso não garante que não haja exposição (por exemplo, em outras portas ou por IPv6), por isso confira também a lista de regras do roteador.
3. Como a tela de configuração varia por fabricante, confirme no manual do modelo onde fica essa lista.

Acesso remoto reavaliado para áreas sensíveis

A ESET também recomenda reavaliar o acesso remoto quando a câmera monitora áreas sensíveis, como entrada, quarto ou escritório. Nesses casos, um encaminhamento direto deixa a câmera exposta a qualquer falha de configuração ou de senha. A tabela compara as opções:

Isole a câmera em uma rede separada

Segundo a Kaspersky, uma das medidas para câmeras IP é isolá-las em uma rede separada, de convidados ou dedicada. O objetivo é reduzir o alcance de um dispositivo comprometido: se o firmware for explorado, o isolamento pode ajudar a limitar o invasor ao segmento da câmera, dificultando o acesso a computadores, NAS ou outros aparelhos da casa, desde que as regras de bloqueio estejam corretamente configuradas.

Rede de convidados ou VLAN dedicada

• Rede de convidados: muitos roteadores oferecem uma segunda rede Wi-Fi. Ela é adequada para câmeras sem fio, mas só isola de fato se o equipamento bloquear a comunicação entre clientes e entre a rede de convidados e a rede principal. Confirme esse comportamento nas configurações ou no manual do seu modelo.
• VLAN dedicada: cria uma sub-rede lógica separada na mesma infraestrutura, com identificador próprio. Exige roteador ou switch com suporte a VLAN (padrão 802.1Q) e a configuração das portas como acesso ou tronco. Oferece controle mais preciso sobre quais dispositivos entram no segmento.

Bloqueie o acesso da câmera aos dispositivos internos

Isolar a rede não basta se a câmera puder iniciar conexões para o resto da casa. Na prática:

• Negue por padrão o tráfego iniciado no segmento da câmera em direção à rede principal.
• Permita apenas o tráfego de resposta a conexões iniciadas pela rede principal (estado estabelecido ou relacionado), para que o app continue funcionando.
• Se um servidor como Home Assistant ou um NVR precisar ler o vídeo, libere apenas o IP desse servidor e a porta necessária, em um único sentido: da rede principal para a câmera.

Firewall entre a rede da câmera e a principal

O filtro pode ser feito pelo firewall do próprio roteador ou por um dispositivo dedicado. A regra central é restringir o acesso lateral, não a saída. Se a câmera depende de serviço em nuvem, a conexão de saída para a internet deve permanecer aberta; o que se bloqueia é a comunicação com os equipamentos internos.

Para validar a configuração:

1. A partir de um aparelho da rede principal, confirme que a câmera continua respondendo ao app.
2. A partir de um cliente conectado ao segmento da câmera, tente alcançar um computador ou NAS da rede principal por IP. A conexão deve falhar.

Como saber se a câmera já foi acessada indevidamente?

Um acesso não autorizado pode deixar rastros em alguns lugares, embora a ausência de sinais não prove que não houve invasão: o histórico de logins e sessões da conta do fabricante, as configurações da câmera e a lista de usuários, e o registro de eventos de movimento e notificações. A verificação consiste em comparar o que está registrado com o que você se lembra de ter feito.

Logins e sessões ativas

Abra o histórico de acesso da conta vinculada à câmera e procure logins em horários em que você não usou o aplicativo, ou a partir de dispositivos e locais que não reconhece. Em seguida, veja a lista de sessões ativas e encerre as que não correspondem a aparelhos seus. Se o aplicativo não mostrar sessões, troque a senha da conta e revise os dispositivos autorizados.

Alterações de configuração

Compare as configurações atuais com as que você definiu. Os itens que mais importam são o acesso remoto, a gravação em nuvem, as notificações e os recursos de rede como UPnP e P2P. Se você os mantém desligados, qualquer um deles ligado sem sua ação é uma alteração a investigar.

Um recurso de rede ativado sem motivo merece investigação, mas sozinho não prova que houve invasão.

Usuários novos e firmware alterado

Revise a lista de usuários e remova qualquer conta que você não criou. Uma conta extra pode indicar que alguém obteve acesso administrativo, mas também ser de um familiar ou instalador. Remova-a se não a reconhece.

O firmware é mais difícil de verificar. Os indícios são externos: comportamento novo, conexões inesperadas ou configurações que mudam sem sua ação.

Movimento e notificações não reconhecidos

Revise os eventos de movimento e os clipes gravados em horários em que ninguém estava em casa. Compare cada evento com a sua agenda e com os horários de notificação. Notificações ou gravações que você não reconhece merecem investigação, pois podem indicar que a câmera foi visualizada ou controlada por terceiros.

Leia também

• Câmera inteligente sem enviar vídeo para a nuvem: como fazer
• Privacidade em casa inteligente e LGPD: dados de dispositivos
• Desativar microfone de caixa de som inteligente: passo a passo