ช่องโหว่หลักที่ทำให้กล้องวงจรปิด WiFi ถูกแฮก
ก่อนจะตั้งค่าป้องกันได้ถูกจุด ต้องรู้ก่อนว่าแฮกเกอร์เข้ามาทางไหน กล้อง IP Camera มีช่องโหว่ที่พบบ่อยอยู่ไม่กี่จุด แต่ละจุดแก้ได้ถ้ารู้ว่าต้องทำอะไร
Default password ที่ไม่มีใครเปลี่ยน
มีฐานข้อมูลสาธารณะอย่าง Shodan และ IPVM ที่รวบรวม default credential ของกล้องแทบทุกยี่ห้อไว้ให้ค้นได้ฟรี ใส่ชื่อรุ่นเข้าไปก็ได้รหัสผ่านโรงงานออกมาทันที แฮกเกอร์ไม่ต้องเดาเอง แค่ใช้เครื่องมือสแกนหา IP กล้องที่เปิด port ออกอินเทอร์เน็ต แล้วยิง credential ชุดนี้อัตโนมัติ กล้องที่ยังใช้ `admin/admin` หรือ `admin/12345` จะโดนเข้าได้ภายในไม่กี่วินาที
ปัญหาคือหลายคนซื้อกล้องมาติด เปิดดูภาพได้แล้วก็จบ ไม่รู้ว่ายังมีขั้นตอนที่ต้องทำต่อ และผู้ผลิตหลายรายก็ไม่ได้บังคับให้เปลี่ยนรหัสตอน setup ครั้งแรก
Firmware เก่าที่ไม่ได้อัปเดต
Firmware คือซอฟต์แวร์ที่รันอยู่ในตัวกล้องโดยตรง ช่องโหว่ที่ค้นพบในเวอร์ชันเก่าจะถูกผู้ผลิตแพตช์ในเวอร์ชันใหม่ แต่ถ้ากล้องไม่ได้อัปเดตมาหลายปี exploit สำหรับช่องโหว่เหล่านั้นหาได้ง่ายบนอินเทอร์เน็ต กล้องราคาถูกจากแบรนด์ไม่รู้จักมักหยุดออก firmware update หลังขายไปแล้วปีสองปี ซึ่งหมายความว่าช่องโหว่ที่ค้นพบทีหลังจะไม่มีวันถูกปิด
กล้องที่ผู้ผลิตยังออก update อยู่สม่ำเสมอจึงสำคัญกว่าสเปกกล้องในหลายกรณี เพราะช่องโหว่ด้านความปลอดภัยไม่ได้มาพร้อมกล้องตั้งแต่แรก บางทีถูกค้นพบทีหลังหลายปี
Port forwarding และการ expose กล้องตรงบนอินเทอร์เน็ต
การเปิด port forwarding บนเราเตอร์เพื่อดูกล้องจากนอกบ้านโดยตรงคือการเอา IP กล้องไปวางบนอินเทอร์เน็ตสาธารณะ เครื่องมือสแกนเครือข่ายอย่าง Shodan index กล้องพวกนี้ไว้เรียบร้อยแล้ว ใครก็เข้าถึงได้ถ้ารหัสผ่านอ่อนหรือ firmware มีช่องโหว่
ทางเลือกที่ปลอดภัยกว่ามีอยู่สองแบบ:
- Cloud relay — กล้องเชื่อมต่อผ่าน server ของผู้ผลิต ไม่ต้องเปิด port บนเราเตอร์เลย แอปบนมือถือดึงสตรีมผ่าน cloud แทน
- VPN — ตั้ง VPN server บนเราเตอร์หรืออุปกรณ์ในบ้าน แล้วเชื่อมต่อผ่าน VPN ก่อนเข้าดูกล้อง วิธีนี้ปลอดภัยที่สุดแต่ตั้งค่าซับซ้อนกว่า
กล้องที่ expose IP โดยตรงจะถูกสแกนพบและโจมตีเร็วกว่ากล้องที่ใช้ cloud relay อย่างเห็นได้ชัด เพราะเป้าหมายที่มองเห็นได้ย่อมถูกยิงก่อนเสมอ
Privacy Mode คืออะไร และทำไมต้องมีในกล้องที่ติดในบ้าน
Privacy Mode เป็นฟังก์ชันที่หลายคนข้ามไปเพราะไม่รู้ว่ามีประโยชน์อะไร แต่สำหรับกล้องที่ติดในพื้นที่ส่วนตัวอย่างห้องนอนหรือห้องนั่งเล่น นี่คือฟีเจอร์ที่ขาดไม่ได้
Privacy Mode ทำงานยังไงในทางเทคนิค
ตรงนี้คือจุดที่สเปกบนกล่องทำให้เข้าใจผิดได้ง่ายที่สุด กล้องหลายรุ่นโฆษณาว่ามี Privacy Mode แต่ทำได้แค่หยุดส่ง stream หรือหยุดบันทึก ซึ่งหมายความว่าเซนเซอร์ภาพยังทำงานอยู่ตามปกติ ถ้าแฮกเกอร์เข้าถึง firmware ได้ก็ยังดึงภาพออกมาได้แม้ว่า Privacy Mode จะเปิดอยู่
Physical privacy shutter คือมาตรฐานที่ต้องการ — เป็นชิ้นส่วนกลไกที่บังเลนส์จริงๆ ไม่ใช่แค่ software toggle ตัวอย่างที่เห็นชัดคือกล้องบางรุ่นของ IMOU ที่เมื่อสั่ง Privacy Mode ชิ้นส่วนจะหมุนมาปิดเลนส์จริงๆ ทางกายภาพ ซึ่งต่างจากรุ่นที่แค่หยุด stream ในซอฟต์แวร์โดยสิ้นเชิง
IMOU Ranger Mini จาก official store — กล้องภายในบ้านที่บทความเน้นว่าต้องดูฟีเจอร์ความปลอดภัยและ Privacy Mode ก่อนซื้อ แบรนด์ IMOU มีประวัติอัปเดต firmware สม่ำเสมอซึ่งบทความระบุว่าเป็นขั้นตอนสำคัญในการปิดช่องโหว่
ดูสินค้าScheduling และ trigger อัตโนมัติของ Privacy Mode
Privacy Mode ที่ใช้ได้จริงต้องตั้งให้ทำงานอัตโนมัติได้ ไม่ใช่ต้องเปิดเองทุกครั้ง ฟีเจอร์ที่ควรมี:
- Time schedule — ตั้งให้ Privacy Mode เปิดอัตโนมัติในช่วงเวลาที่กำหนด เช่น 22:00–06:00 หรือช่วงที่อยู่บ้านประจำ
- Geofencing — แอปตรวจ GPS ของสมาร์ทโฟนเจ้าของ ถ้าโทรศัพท์อยู่ในรัศมีบ้านก็สลับเป็น Privacy Mode อัตโนมัติ พอออกจากบ้านก็สลับกลับมาเฝ้าบ้านให้
- Manual trigger จากแอป — กดปิดได้ทันทีโดยไม่ต้องเดินไปที่ตัวกล้อง
ฟีเจอร์เหล่านี้ต้องทำงานผ่านแอปของผู้ผลิต ซึ่งหมายความว่าคุณภาพของแอปสำคัญพอๆ กับตัวกล้อง กล้องที่แอปไม่ได้รับการอัปเดตนานก็มักจะมีปัญหาตามมาในส่วนนี้ด้วย
วิธีตั้งค่ากล้องวงจรปิด WiFi ให้ปลอดภัยตั้งแต่วันแรก
การตั้งค่าที่ถูกต้องตั้งแต่ต้นป้องกันปัญหาได้มากกว่าการซื้อกล้องแพงขึ้นโดยไม่ดูแลระบบ ทำตามลำดับนี้ก่อนให้กล้องออนไลน์
เปลี่ยน password และเปิด two-factor authentication ก่อนเชื่อม WiFi
ลำดับนี้สำคัญมาก หลายคนเชื่อมกล้องเข้า WiFi ก่อนแล้วค่อยตั้งรหัสทีหลัง แต่ช่วงเวลาที่กล้องออนไลน์แล้วยังใช้ default password อยู่คือช่วงที่เสี่ยงที่สุด เพราะเครื่องมือสแกนทำงานตลอดเวลา
ขั้นตอนที่ถูกต้อง:
- เปลี่ยน password ผ่านหน้า setup ก่อนกด connect WiFi — ถ้าแอปบังคับให้เชื่อม WiFi ก่อนค่อยตั้งรหัส ให้ทำให้เร็วที่สุดแล้วตัดกล้องออกจากเครือข่ายชั่วคราวระหว่างตั้งค่า
- รหัสผ่านควรยาวอย่างน้อย 12 ตัวอักษร ผสมตัวเลข ตัวพิมพ์ใหญ่-เล็ก และสัญลักษณ์ — ไม่ใช้ชื่อ วันเกิด หรือเลขซ้ำ
- เปิด two-factor authentication (2FA) ถ้าแอปรองรับ — ส่วนใหญ่ทำผ่าน authenticator app หรือ SMS ขั้นตอนนี้ทำให้แม้รหัสผ่านหลุดก็ยังเข้าบัญชีไม่ได้โดยไม่มีโทรศัพท์
กล้องที่ติดตั้งแบบนี้ตั้งแต่วันแรกปิดช่องโหว่ที่พบบ่อยที่สุดได้ทันที
IMOU Ranger Dual Pro จาก official store ยอดขายสูง rating 5 — กล้องภายในที่มีแอป Dahua IMOU รองรับการตั้งค่าความปลอดภัยและ Privacy Mode ซึ่งบทความระบุว่าต้องเช็กในแอปก่อนตัดสินใจ
ดูสินค้าแยก WiFi network สำหรับ IoT device
กล้องวงจรปิด WiFi คืออุปกรณ์ IoT ที่ควรอยู่แยกจากเครือข่ายหลัก เหตุผลคือถ้ากล้องถูกแฮก แฮกเกอร์จะเข้าถึงได้แค่เครือข่ายของกล้อง ไม่ใช่คอมพิวเตอร์ NAS หรือโทรศัพท์ที่อยู่ในเครือข่ายหลัก
เราเตอร์ส่วนใหญ่ในปัจจุบันรองรับการสร้าง Guest Network ได้ วิธีตั้งค่าพื้นฐาน:
- เข้าหน้า admin เราเตอร์ (โดยทั่วไปที่ 192.168.1.1 หรือ 192.168.0.1)
- หาเมนู Guest Network หรือ IoT Network แล้วสร้าง SSID ใหม่แยกต่างหาก
- ปิด client isolation ไม่ใช่เปิด — ต้องการให้กล้องแต่ละตัวคุยกับ cloud ได้ แต่ไม่ให้คุยกับอุปกรณ์ในเครือข่ายหลัก
- เชื่อมกล้องทุกตัวเข้า network นี้แทน network หลัก
เราเตอร์ระดับกลางขึ้นไปหลายรุ่นรองรับ VLAN ที่แยกได้ละเอียดกว่านี้ แต่ Guest Network ก็เพียงพอสำหรับบ้านทั่วไปแล้ว
IMOU VERSA จาก official store ใช้ได้ทั้งภายในและภายนอก — ครอบคลุมการติดตั้งหลายจุดในบ้านที่บทความเตือนว่าต้องตั้งค่า password และ firmware ทุกตัวแยกกัน
ดูสินค้าตั้ง firmware auto-update และตรวจสอบ app permission
เปิด auto-update firmware ในแอปกล้องทุกครั้งที่มีตัวเลือก อย่าปล่อยให้กล้องใช้ firmware เดิมนานเกินหนึ่งปีโดยไม่ตรวจสอบ บางรุ่นต้องเข้าไปกดอัปเดตเองในแอป ไม่ได้อัปเดตอัตโนมัติ
ส่วนเรื่อง permission ของแอปกล้องบนสมาร์ทโฟน ตรวจสอบว่าแอปขออะไรบ้าง:
- Camera และ Microphone — จำเป็นสำหรับ two-way audio
- Location — จำเป็นถ้าใช้ geofencing, ถ้าไม่ใช้ฟีเจอร์นี้ควรปฏิเสธ
- Contacts หรือ Storage แบบ full access — ไม่จำเป็นสำหรับแอปกล้อง ถ้าแอปขอสิ่งเหล่านี้ให้ระวัง
ตรวจสอบด้วยว่าวิดีโอที่บันทึกไปเก็บที่ cloud ของประเทศไหน ผู้ผลิตจีนหลายรายเก็บข้อมูลบน server ในจีน ซึ่งอยู่ภายใต้กฎหมายที่ต่างกัน ถ้าความเป็นส่วนตัวสำคัญ ควรเลือกกล้องที่รองรับ local storage แทนหรือควบคู่กัน
IMOU MicroSD Card ของแท้จากแบรนด์ — การ์ดความจุสำหรับบันทึกภาพในตัวกล้องช่วยลดการพึ่งพา cloud storage ซึ่งบทความระบุว่าการส่งภาพออกนอกเครือข่ายคือหนึ่งในช่องโหว่ที่ต้องระวัง
ดูสินค้าเลือกกล้องวงจรปิด WiFi ที่ปลอดภัย ดูอะไรในสเปกและฟีเจอร์
สเปกกล้องบนกล่องบอกความละเอียดและมุมมองได้ แต่ไม่ได้บอกว่ากล้องตัวนั้นปลอดภัยแค่ไหน จุดที่ต้องดูเพิ่มมีอยู่ไม่กี่อย่างแต่สำคัญมาก
End-to-end encryption และมาตรฐาน cloud ของผู้ผลิต
กล้องที่ไม่มี end-to-end encryption ส่งข้อมูลวิดีโอแบบ plaintext ระหว่างตัวกล้องกับ server ของผู้ผลิต ใครที่อยู่บน WiFi เดียวกันหรือดักฟัง traffic ระหว่างทางได้ก็อ่านข้อมูลนั้นได้เลย
ผู้ผลิตที่จริงจังเรื่องนี้จะระบุชัดในเอกสารว่าใช้การเข้ารหัสแบบใด และมีนโยบาย privacy ที่อ่านแล้วเข้าใจได้ว่าข้อมูลของคุณถูกเก็บไว้ที่ไหน นานแค่ไหน และใครเข้าถึงได้บ้าง กล้องที่ไม่มีเอกสารพวกนี้เลยให้ระวัง
IMILAB C30 Dual กล้องภายในบ้านใช้กับแอป Xiaomi Home — แอปมีฟีเจอร์ควบคุมความเป็นส่วนตัวที่บทความแนะนำให้ดูก่อนซื้อ rating 4.92 จากร้านที่ระบุเงื่อนไขรับประกันชัดเจน
ดูสินค้าLocal storage vs Cloud storage ข้อดีข้อเสียด้านความปลอดภัย
สองแบบนี้มีจุดแข็งต่างกัน ไม่มีแบบไหนดีกว่าอีกแบบในทุกสถานการณ์
Local storage (SD card, NVR, HDD):
- ข้อมูลไม่ออกนอกบ้าน ไม่ต้องเชื่อใจ server ของใคร
- ถ้าโจรขโมยกล้องหรือ SD card ไปด้วย ภาพหายหมด
- เหมาะกับคนที่ห่วงเรื่อง privacy มากกว่าความสะดวก
Cloud storage:
- ภาพรอดแม้กล้องถูกขโมย เพราะ backup ไว้บน server แล้ว
- ต้องเชื่อใจผู้ให้บริการและยอมรับว่าข้อมูลออกนอกบ้าน
- ค่าบริการรายเดือนเพิ่มขึ้นถ้าต้องการเก็บย้อนหลังนาน
กล้องที่รองรับทั้งสองแบบให้ยืดหยุ่นที่สุด ใช้ SD card เก็บ local แล้วเปิด cloud backup เฉพาะกรณีตรวจพบการเคลื่อนไหวก็ได้ ช่วยลดทั้งปริมาณข้อมูลที่ส่งออกและค่าบริการ cloud
Seagate SkyHawk 6TB ออกแบบมาสำหรับระบบกล้องวงจรปิดโดยเฉพาะ — สำหรับผู้ที่เก็บภาพแบบ local NVR/DVR แทน cloud ซึ่งบทความระบุว่าช่วยลดความเสี่ยงจากการส่งข้อมูลออกอินเทอร์เน็ต
ดูสินค้าแบรนด์ที่มี track record ด้าน security update
จุดนี้ดูได้จากหลายทาง — ค้นชื่อแบรนด์กับคำว่า "firmware update" หรือ "security patch" ดูว่ามีประวัติออก update บ่อยแค่ไหน ผู้ผลิตที่จริงจังมักมี changelog บนเว็บบอกว่าแต่ละเวอร์ชันแก้อะไรบ้าง
กล้องราคาถูกมากจากแบรนด์ที่ไม่มีประวัติมักหยุด support ภายในหนึ่งถึงสองปีหลังออกสู่ตลาด ซึ่งหมายความว่าช่องโหว่ที่ค้นพบทีหลังจะไม่มีวันถูกปิด นี่คือต้นทุนที่ซ่อนอยู่ในราคาถูก — ไม่ได้จ่ายตอนซื้อ แต่จ่ายด้วยความเสี่ยงที่สะสมขึ้นทุกปี
IMOU DK7 จาก official store รุ่นภายนอกบ้าน IP66 — ครอบคลุมกรณีใช้งานกลางแจ้งที่บทความพูดถึง แบรนด์มีช่องทางรับประกันศูนย์ไทยชัดเจนตามที่บทความแนะนำให้เช็กก่อนซื้อ
ดูสินค้าสัญญาณที่บอกว่ากล้องวงจรปิดในบ้านอาจถูกแฮกแล้ว
ถ้าติดตั้งกล้องไปแล้วและไม่แน่ใจว่าปลอดภัยหรือเปล่า มีสัญญาณบางอย่างที่สังเกตได้โดยไม่ต้องใช้เครื่องมือพิเศษ
พฤติกรรมผิดปกติที่สังเกตได้จากแอปและเครือข่าย
สัญญาณเตือนที่ควรสังเกต:
- กล้อง pan/tilt หมุนเองโดยไม่มีคำสั่ง — โดยเฉพาะตอนกลางคืนหรือช่วงที่ไม่มีใครใช้งาน
- แอปแจ้งเตือน login จากอุปกรณ์หรือ IP ที่ไม่รู้จัก — ถ้าแอปมีประวัติ login ให้เข้าไปตรวจสอบสม่ำเสมอ
- ไฟ LED กะพริบผิดจังหวะ — กล้องส่วนใหญ่มีรูปแบบ LED ที่แน่นอนตอน standby กับตอนบันทึก ถ้าผิดจากปกติให้สังเกต
- Bandwidth ของกล้องสูงผิดปกติตอนกลางคืน — ดูได้จากหน้า admin เราเตอร์ ถ้ากล้องส่งข้อมูลออกมากผิดปกติในช่วงที่ไม่มีการเคลื่อนไหวในบ้าน อาจหมายความว่ามีคนดึง stream อยู่
วิธีตรวจสอบและรีเซ็ตถ้าสงสัยว่าโดนแฮก
ถ้าพบสัญญาณข้างต้นหรือสงสัยว่ากล้องถูกเข้าถึงโดยไม่ได้รับอนุญาต ลำดับที่ควรทำ:
- ตัดกล้องออกจากเครือข่ายก่อนเป็นอันดับแรก — ถอดสาย LAN หรือปิด WiFi ของกล้องชั่วคราว อย่าปล่อยให้ยังออนไลน์ขณะตรวจสอบ
- เปลี่ยน WiFi password ของเครือข่ายทั้งบ้าน — ไม่ใช่แค่รหัสกล้อง เพราะถ้ากล้องถูกใช้เป็นจุดเข้า อุปกรณ์อื่นในเครือข่ายอาจถูก scan ไปแล้ว
- Factory reset กล้องทุกตัว — กดปุ่ม reset ค้างจนไฟกะพริบตามคู่มือ อย่าใช้กล้องต่อโดยไม่ reset เพราะ malware บางตัวรอดจากการแค่เปลี่ยนรหัสผ่าน
- อัปเดต firmware ก่อน setup ใหม่ — ดาวน์โหลด firmware ล่าสุดจากเว็บผู้ผลิตโดยตรง แล้วอัปเดตก่อน connect เครือข่าย
- ตั้งค่าใหม่ตั้งแต่ต้นตามลำดับในส่วนก่อนหน้า — เปลี่ยนรหัส เปิด 2FA แยก network แล้วค่อย connect
ไม่แนะนำให้พยายาม "ไล่ล่า" แฮกเกอร์หรือดู log ลึกๆ เองถ้าไม่มีพื้นฐาน network security — การ reset และตั้งค่าใหม่ให้ถูกต้องปลอดภัยกว่าการปล่อยให้กล้องออนไลน์ต่อขณะยังไม่แน่ใจ