凌晨两点，黑客李薇手机突然弹出一条通知：“摄像头已上线。偷录头视”她没开过这个功能。民宅点进去，网络画面里是摄像她自己——正躺在床上刷手机。镜头角度刁钻，黑客明显被人远程调过。偷录头视她愣了三秒，民宅拔掉电源，网络后背全是摄像冷汗。

这不是黑客孤例。上个月，偷录头视浙江警方破获一起非法控制计算机信息系统案，民宅嫌疑人王某用一款叫“云视通”的网络扫描工具，批量破解了全国两千多个家庭摄像头的摄像默认密码。他专门挑那些没改过初始密码、固件版本停留在2019年的设备。一台摄像头在黑市卖30到80块，带夜视和云台的贵一倍。买家是谁？有人拿来偷窥，有人拿去敲诈，还有人纯粹为了“看热闹”。

技术门槛低得离谱。我试过，在GitHub上搜“IP camera brute force”，前五个项目都能直接跑。一个Python脚本，配合默认密码字典（admin/12345、root/888888、user/空密码），十分钟能扫出一个C段里的十几台设备。海康威视、大华、普联的部分老型号，连验证码都没有。更别提那些杂牌机，出厂固件里直接留了后门——厂商自己用来远程调试的，结果成了公共入口。

有人觉得“我家摄像头对着墙，偷录也没事”。问题不在画面，在权限。一旦黑客拿到控制权，他能听你说话，能转动镜头，能回放你过去三个月的录像。去年深圳一个案例，嫌疑人专挑婴儿房摄像头，录下家长换衣服、喂奶的片段，打包发到境外论坛。受害者直到警察上门才知道，自己家客厅的摄像头被共享给了上百人。

厂商在干什么？海康威视2021年发过固件更新，强制首次登录改密码。但很多用户从不升级，盒子上的二维码扫出来还是老版本。大华去年召回了一批设备，公告藏在官网三级页面里，没几个人看到。更讽刺的是，有些摄像头连“恢复出厂设置”都不清空远程访问记录——你重置了，黑客那边照样能连。

普通人能做什么？第一，别买杂牌。我拆过一台99块的摄像头，主板上连屏蔽罩都没有，Wi-Fi模块是二手回收的。第二，改密码，别用生日和手机号。第三，关掉UPnP（通用即插即用），那玩意儿会自动在路由器上开端口。第四，如果摄像头支持，设一个“访客网络”单独给它用。第五，不用的时候，物理遮挡最管用——拿张黑胶带贴住镜头，比什么加密都实在。

说个真事。我朋友老张，去年发现自家摄像头半夜自动转向门口。他没声张，在镜头旁边放了个假人模特，穿他的睡衣。第二天录像里，有个男声在笑：“这哥们睡得真死。”老张把录像交给网警，顺藤摸瓜抓到一个同小区的租客。那人用老张的Wi-Fi密码猜出了摄像头密码——因为老张图省事，两个密码一模一样。

别觉得这事离你远。国家互联网应急中心的数据：2023年境内被控制的摄像头IP超过78万个，平均每天新增两千。你家的那个，可能已经在列表里了。现在，去改密码，或者直接拔线。别等手机弹出“摄像头已上线”才后悔。