Sistemet e kamerave që bizneset në Shqipëri vendosin për të mbrojtur pronën dhe aktivitetin e tyre mund të shndërrohen në një nga hallkat më të brishta të sigurisë, nëse nuk administrohen me kujdes. Ky është paralajmërimi i Besmir Semanajt, ekspert i teknologjisë së informacionit dhe sigurisë kibernetike, i cili thekson se shumë sipërmarrje zgjedhin kamera me kosto të ulët dhe më pas i lënë pas dore: pajisjet nuk përditësohen, fjalëkalimet nuk ndryshohen dhe askush nuk kontrollon se kush ka akses te regjistrimet.

Sipas tij, rreziku nuk mbyllet te videot që mund të rrjedhin. Një kamerë e komprometuar mund të përdoret edhe si derë hyrëse për të sulmuar sistemet e tjera informatike të biznesit. Për ta shmangur këtë, eksperti rendit një sërë masash, nga autentikimi me dy faktorë dhe përditësimi i rregullt i pajisjeve, deri te kufizimi i aksesit në distancë, ndarja e rrjetit të kamerave dhe dokumentimi i çdo hyrjeje në sistem.

Cenueshmëria e kamerave IP nuk është më teori

Semanaj i cilëson sistemet e kamerave IP si "shumë të cenueshme" dhe thotë se në Shqipëri kjo nuk është më një skenar hipotetik. Ai përmend rastin Hila, si dhe pamjet e fundit nga dhoma epilimi me lazer në klinika estetike, të cilat shiten në faqe pornografike. Sipas tij, shumica e bizneseve blejnë kamerën më të lirë, e lidhin me Wi‑Fi dhe nuk merren më me të.

Eksperti konfirmon se fjalëkalimi i paracaktuar (default), firmware-i i vjetër dhe portat e hapura vazhdojnë të jenë problemi numër një. Në rastin Hila, pajisja raportohet të jetë identifikuar përmes platformave që indeksojnë pajisjet e ekspozuara në internet, si Shodan, dhe më pas u komprometuan kredencialet. "Nuk duhet haker elitar", nënvizon Semanaj.

Telefoni, çelësi i gjithë sistemit

Shumë biznese u japin pronarëve ose administratorëve mundësinë t'i ndjekin kamerat në kohë reale nga telefoni. Për Semanajn, kjo e kthen telefonin në çelësin e gjithë sistemit. Aplikacionet e prodhuesve funksionojnë zakonisht me një email dhe një fjalëkalim, shpesh të njëjtin që përdoret kudo, dhe pa autentikim me dy faktorë (2FA).

Nëse telefoni vidhet ose fjalëkalimi ka rrjedhur nga një shërbim tjetër, sulmuesi mund të shohë pamjet live dhe të shkarkojë arkivin nga çdo cep i botës, pa lënë asnjë gjurmë në lokal. Në praktikë, shton eksperti, aplikacioni ndahet me partnerin, menaxherin dhe "djalin që na rregullon kompjuterët".

Kush ka realisht akses te pamjet

Lista e personave dhe subjekteve që mund të shohin pamjet e një sistemi CCTV është, sipas Semanajt, shumë më e gjatë nga ç'kujton pronari. Aty përfshihen instaluesi që ruan llogarinë e administratorit "për çdo rast", mirëmbajtësi, prodhuesi përmes cloud-it dhe lidhjeve P2P, ofruesi i shërbimit cloud, çdo punonjës që ka aplikacionin, si dhe ish-punonjësit të cilëve aksesi nuk u hoq kurrë.

Zgjidhja, sipas tij, është krijimi i llogarive individuale për çdo person, në vend të një llogarie të përbashkët "admin". Rolet duhet të ndahen: disa përdorues mund të shohin vetëm pamjet live, të tjerë mund të rishikojnë regjistrimet (playback) dhe vetëm disa të autorizuar mund t'i eksportojnë. Instaluesi duhet të marrë vetëm akses të përkohshëm, ndërsa aksesi i çdo personi që largohet duhet të hiqet menjëherë.

Pa regjistra aksesi nuk ka hetim

"Pa log-im nuk ka hetim", thotë Semanaj. Pajisjet NVR dhe shërbimet cloud mund të regjistrojnë kush hyri në sistem, nga cila adresë IP, kur i pa pamjet dhe kur i eksportoi. Problemi qëndron te kamerat e lira, ku regjistrat e aksesit ose mungojnë fare, ose mbishkruhen pas pak ditësh.

Duke iu referuar rastit të klinikave, eksperti vëren se videot arrijnë deri në 60 minuta, çka tregon se dikush ka pasur akses te regjistrimi i plotë dhe jo te një fragment i rastësishëm. Te Hila, pamjet kishin dalë në faqe pornografike të paktën dy vjet më parë. "Kush ruan log dyvjeçar?", pyet ai, duke shtuar se pikërisht për këtë arsye regjistrat duhet të dërgohen jashtë pajisjes.

Si identifikohet burimi i një rrjedhjeje

Kur një video del jashtë sistemit, hapi i parë i analizës, sipas Semanajt, është vetë materiali. Një eksport origjinal nga NVR-ja ruan rezolucionin, formatin dhe vulën kohore (timestamp) të sistemit, ndërsa një filmim i ekranit me telefon nuk i ka këto elemente. Më pas kryqëzohen regjistrat e NVR-së ose të cloud-it, regjistrat e router-it dhe historiku i llogarisë në aplikacion.

  • Nëse eksporti është bërë me përdoruesin e stafit dhe nga IP-ja e klinikës, kjo tregon për një person të brendshëm.
  • Nëse hyrja është bërë nga një IP e huaj, bëhet fjalë për sulm.
  • Nëse nuk ka asnjë hyrje lokale, burimi është llogaria cloud.

Eksperti thekson se këtë e përcakton vetëm ekspertiza teknike mbi pajisjet, jo spekulimi mediatik.

Kamera si portë drejt gjithë rrjetit të biznesit

Semanaj është kategorik se një kamerë IP e komprometuar mund të shërbejë si pikë hyrëse për të depërtuar më thellë në rrjetin e një kompanie. Ai shpjegon se kamera është në thelb një kompjuter Linux me firmware të vjetër, që askush nuk e monitoron.

Në shumicën e lokaleve shqiptare, kamerat, sistemi POS, kompjuteri i financës dhe Wi‑Fi i klientëve janë në të njëjtin rrjet. Kështu, nga kamera mund të arrihet te arka, faturat, pajisja NAS dhe router-i. Për këtë arsye, ndarja e kamerave në një VLAN të veçantë, të mbrojtur me firewall, është sipas tij masa më e lirë me efektin më të madh.

Cloud apo ruajtje lokale

Për ekspertin, asnjëra zgjidhje nuk është e sigurt vetvetiu. Ruajtja lokale jep më shumë kontroll, por zakonisht shoqërohet me një NVR të pambrojtur, të hapur në internet për t'u lidhur me aplikacionin, e cila mund të vidhet edhe fizikisht. Cloud-i përditësohet më mirë, por rreziku zhvendoset te llogaria, te prodhuesi dhe te vendi ku ruhen të dhënat, shpesh jashtë Bashkimit Europian. Te Hila, sipas tij, kamerat nuk kishin memorie, por funksiononin online, që do të thotë se arkivi ndodhej diku tjetër.

Përgjegjësia e plotë e instaluesit

Kompania që instalon kamerat, sipas Semanajt, mban përgjegjësi të plotë teknike. Ajo duhet të ndryshojë kredencialet e paracaktuara, të përditësojë firmware-in, të mbyllë portat dhe t'i dorëzojë klientit dokumentacion me çdo llogari dhe akses ekzistues. Pas përfundimit të punës, instaluesi duhet të dalë nga sistemi. Nëse vazhdon me mirëmbajtjen, duhet të ketë llogari personale dhe akses vetëm kur kërkohet.

Në Shqipëri, sipas ekspertit, këto hapa neglizhohen në shumicën e rasteve. Shpesh mbetet aktive llogaria "admin/12345", që instaluesi ta ketë të lehtë të ndërhyjë më vonë, ndërkohë që pronari nuk e di as që kjo llogari ekziston.

Çfarë duhet bërë kur dyshohet për komprometim

Prioriteti i parë është ruajtja e provave: asgjë nuk duhet fshirë, formatuar apo shkatërruar. Semanaj kujton se te Hila raportohet të jetë shkatërruar hardisku i kamerave, gjë që i fshin hetimit gjurmët. Më pas, ai rekomandon këtë radhë veprimesh:

  1. Eksportimi i regjistrave të aksesit dhe fotografimi i konfigurimit.
  2. Shkëputja e sistemit nga interneti duke hequr lidhjen WAN, jo duke fikur korrentin.
  3. Nga një pajisje tjetër e pastër, ndryshimi i fjalëkalimeve të cloud-it dhe të email-it, aktivizimi i 2FA dhe mbyllja e të gjitha sesioneve.
  4. Denoncimi në Krimin Kibernetik dhe në IDP.

Viktimave, eksperti u kërkon të mos e shkarkojnë dhe të mos e shpërndajnë materialin, por të ruajnë linkun, datën dhe pamjen e ekranit të faqes. "Çdo shpërndarje e re është viktimizim i ri", thekson ai.

Vijat e kuqe dhe masat minimale

Semanaj e përcakton qartë kufirin: në dhoma epilimi, lazeri apo zhveshjeje nuk vendoset kamerë, sepse asnjë arsye sigurie nuk e justifikon. Kamerat duhet të vendosen në hyrje, recepsion dhe arkë. Audioja duhet të mbahet e fikur, veçanërisht në lokale, pasi regjistrimi i bisedave të klientëve, sipas tij, "nuk është siguri, është përgjim". Kjo vlen edhe pse dyqanet online në Shqipëri e reklamojnë mikrofonin e integruar si avantazh.

Masat minimale që eksperti konsideron të domosdoshme për një sistem kamerash të mbrojtur në mënyrë të arsyeshme janë:

  • autentikimi me dy faktorë (2FA);
  • firmware i përditësuar;
  • zero porta të hapura dhe akses në distancë vetëm përmes VPN;
  • rrjet i veçantë për kamerat;
  • llogari individuale për çdo përdorues;
  • regjistra aksesi aktivë;
  • asnjë akses për instaluesin pas dorëzimit të sistemit.

Pa këto masa, paralajmëron eksperti, një pajisje e blerë për të rritur sigurinë e biznesit mund të kthehet vetë në pikën më të dobët të sigurisë së tij.