Caméras Dahua piratées : plus de 14 500 appareils détournés via le cloud P2P

L’agence ukrainienne CERT-UA a lancé une alerte fin octobre 2026 sur des caméras Dahua piratées à distance, flux vidéo compris. Les attaquants passent par le service P2P du constructeur, sans même franchir le pare-feu. Une campagne liée, documentée par la société Hunt.io, aurait touché plus de 14 500 équipements.

L’avis du CERT-UA, publié le 23 ou le 24 octobre selon les sources, décrit trois effets constatés sur des caméras IP et enregistreurs Dahua : visionnage des images en direct, modification des réglages et création de comptes inconnus. L’agence ne donne ni le nombre de victimes ni l’identité des attaquants. Les chiffres viennent d’ailleurs : selon The Hacker News et TechTimes, Hunt.io a recensé plus de 14 530 caméras compromises entre le 17 juin et le 22 juillet 2026, surtout en Ukraine, lors d’une opération baptisée « CameraSwarm ». Le lien direct entre cette campagne et l’alerte officielle n’est pas confirmé.

Comment les caméras Dahua piratées ont été prises en main

Le point d’entrée n’est pas une faille nouvelle. C’est une fonction de confort : Easy4IP, le service P2P de Dahua. Le P2P (pair à pair) permet de consulter une caméra depuis un smartphone sans ouvrir de port sur la box ni configurer de VPN. L’appareil s’enregistre sur un relais cloud, identifié par son numéro de série.

Des numéros de série devinables

D’après l’analyse de Hunt.io reprise par TechTimes, ces numéros suivent un schéma prévisible : un préfixe fixe suivi d’un simple compteur. Les attaquants les ont énumérés en masse, sans limitation de débit côté relais. Une fois la caméra trouvée, il restait à s’y connecter.

Mots de passe faibles et vieilles failles

• Identifiants faibles ou par défaut, testés par force brute : la majorité des appareils compromis (plus de 12 000 selon TechTimes).
• Deux vulnérabilités de 2021, CVE-2021-33044 et CVE-2021-33045 (une CVE est l’identifiant public d’une faille), qui permettent de contourner l’authentification sur un firmware non mis à jour. Dahua les a corrigées en octobre 2021.
• Le relais Easy4IP lui-même, utilisé pour joindre des caméras pourtant non exposées sur Internet.

Un compte fantôme qui survit au changement de mot de passe

Le plus inquiétant tient à la persistance. Selon Hunt.io, cité par The Hacker News et TechTimes, près de 2 000 caméras ont reçu un compte caché qui reste actif après une modification du mot de passe administrateur, et souvent même après une réinitialisation. Les opérateurs recevaient des captures d’écran en temps réel par messagerie. TechTimes relève des commentaires en russe dans les outils saisis.

La finalité n’est pas établie par le CERT-UA. La presse spécialisée rappelle toutefois que les services néerlandais ont alerté en juillet 2026 sur l’usage de caméras détournées à des fins de renseignement militaire. Dans un contexte civil, le risque est autre mais réel : espionnage de locaux, repérage avant cambriolage, fuite d’images personnelles et porte d’entrée vers le réseau interne.

Ce que ça change pour les entreprises et les communes françaises

L’alerte vise l’Ukraine, mais la mécanique est universelle. Les caméras IP de ce type équipent aussi des commerces, des PME et de petites collectivités en France. Nombre d’installations ont été mises en service avec l’accès P2P activé par défaut, pour la consultation à distance, puis laissées sans mise à jour depuis des années.

• Une caméra non patchée depuis 2021 reste vulnérable aux deux CVE exploitées.
• Un pare-feu ne protège pas d’un accès qui transite par le cloud du constructeur.
• Pour une commune, des images de voie publique détournées peuvent engager sa responsabilité au titre du RGPD.

Le sujet rejoint celui de la cybersécurité des collectivités : une caméra est un ordinateur connecté, et doit être gérée comme tel. Les mêmes enjeux de conservation et d’intégrité des enregistrements apparaissaient déjà dans notre article sur la sauvegarde des images de vidéosurveillance.

Les réflexes à adopter dès maintenant

Le CERT-UA formule quatre recommandations, complétées par les conseils de Hunt.io. Voici ce que vous pouvez vérifier rapidement sur votre installation :

Couper ce qui n’est pas indispensable

• Désactivez le P2P et le cloud du constructeur si vous ne les utilisez pas.
• N’exposez jamais une caméra ou un enregistreur directement sur Internet : passez par un accès distant sécurisé par VPN, limité à des adresses autorisées.
• Isolez les caméras dans un VLAN dédié, séparé du reste du réseau d’entreprise.

Contrôler et mettre à jour

• Passez en revue la liste des comptes de chaque appareil et supprimez tout compte inconnu.
• Installez le dernier firmware, puis planifiez des mises à jour régulières.
• Remplacez les mots de passe par défaut par des identifiants longs et uniques.
• Intégrez les caméras au périmètre de votre politique de sécurité informatique et de votre supervision.

Conclusion

L’affaire des caméras Dahua piratées montre qu’un système de vidéosurveillance professionnelle mal configuré peut devenir un outil d’espionnage à moindre coût. Rien de sophistiqué ici : des failles connues depuis cinq ans, des mots de passe faibles et un accès cloud laissé ouvert. Un audit de votre parc, quelques réglages et une politique de mise à jour suffisent à fermer l’essentiel de ces portes.

Source : The Hacker News – Attackers Hijack Dahua IP Cameras in Ukraine Using P2P Access and Auth Weaknesses (27 octobre 2026)
Voir aussi : Security Affairs – Attackers Take Control of Dahua Cameras and Video Recorders Via Easy4IP (27 octobre 2026) ; TechTimes – Hackers Compromised 14,500 Dahua Cameras via Serial Numbers, CERT-UA Now Warns (27 octobre 2026)