AIVD und MIVD zufolge durchsuchen die Betreiber das Internet gezielt nach exponierten Geräten und identifizieren IP-Kameras anhand ihrer Marke. Der Zugang gelingt demnach oft über triviale Schwächen: Standardkennwörter, veraltete Firmware und nie geänderte Werkseinstellungen. Anschließend übernimmt Bilderkennungssoftware die Auswertung und durchsucht Videoströme automatisiert nach Militärfahrzeugen und deren Ladung.

Die niederländischen Dienste betonen, dass derartige Zugriffe in der Ukraine bereits über bloße Beobachtung hinausgingen. Dort sei der Kamerazugang bei Versuchen genutzt worden, ukrainische Soldaten anzugreifen und Ausrüstung zu zerstören. In EU- und NATO-Staaten werde derselbe Zugriff nach Angaben der Dienste auch für militärische Aufklärung außerhalb des unmittelbaren Kriegskontexts verwendet.

Wie groß die potenzielle Angriffsfläche ist, hat Censys in einer eigenen Analyse untersucht. Nach Zählung des Internet-Scanning-Anbieters laufen in der EU, in NATO-Mitgliedstaaten und in der Ukraine mehr als 87.000 internetverbundene Kameras mit einem Dienst, dessen Versionsstand zu einer bekannten, bereits ausgenutzten Schwachstelle passt. Censys bezeichnet diese Zahl ausdrücklich als Untergrenze. Mehr als 4.000 dieser Systeme stehen demnach in der Ukraine.

Für die Niederlande fand Censys 45.386 Kameras, die aus dem öffentlichen Internet erreichbar sind. 1.992 davon markierte das Unternehmen als Systeme mit einem Dienst, der eine bekannte, bereits ausgenutzte Schwachstelle aufweist. Beschränkt man die Auswertung auf Schwachstellen in der Kamerasoftware selbst, sinkt die Zahl laut Censys auf 541. Das Unternehmen hält dennoch an der breiteren Zählweise fest, weil ein Einstieg über einen einzelnen verwundbaren Dienst häufig zur Übernahme des gesamten Hosts führen könne.

Censys schränkt seine eigenen Zahlen zugleich ein. Nicht jede öffentlich erreichbare Kamera sei automatisch kompromittierbar. Martijn Grooten, leitender Sicherheitsforscher bei Censys, schreibt in der Analyse des Unternehmens: „Dass eine Kamera öffentlich zugänglich ist, macht sie noch nicht angreifbar.“ Zudem bedeute ein Versionsabgleich per Service-Banner nicht automatisch, dass ein Exploit tatsächlich erreichbar sei.

Als Beispiele hebt Censys zwei Schwachstellen hervor. CVE-2016-7407 betrifft dropbearconvert, ein lokales Werkzeug zum Import von Schlüsseln im Dropbear-SSH-Server. Code werde dort nur ausgeführt, wenn jemand eine bösartige Schlüsseldatei konvertiere. Der Fehler wurde im Juli 2016 behoben; Censys markierte dafür 159 Hosts in den Niederlanden. CVE-2021-39275 ist ein Schreibfehler außerhalb zulässiger Speichergrenzen. Apache selbst bewertet ihn als geringes Risiko, da kein mitgeliefertes Modul unzuverlässige Daten an die betroffene Funktion übergibt, auch wenn dies bei einem Drittanbieter-Modul möglich sei. Behoben wurde die Lücke in Apache 2.4.49; 112 niederländische Hosts laufen laut Censys mit einer passenden Version. Beide Schwachstellen zählt Censys als bereits praktisch ausgenutzt, obwohl keine von ihnen im Katalog der von CISA bekannten ausgenutzten Schwachstellen geführt wird.

Den bestätigten Einbrüchen stellen die niederländischen Dienste eine deutlich kleinere Zahl gegenüber. In einer separaten Mitteilung erklärten sie, tatsächlich nur eine geringe Zahl kompromittierter Kameras entdeckt zu haben, die direkt an militärischen Logistikrouten in den Niederlanden installiert waren. Die betroffenen Organisationen seien inzwischen gewarnt worden, damit sie die Systeme absichern können.

Nach Angaben der Dienste gibt es außerhalb der Ukraine bislang keine Beobachtungen, dass aus Kameras gewonnene Aufklärung für militärische Angriffe genutzt wurde. Der Wert solcher Zugriffe liege schon darin, laufende physische Abläufe in Echtzeit mitzulesen: wann Lastwagen fahren und wer kommt oder geht, ohne dass dafür ein tieferer Einbruch in ein Netzwerk nötig wäre.