Çin menşeli OEM IP kameralar neden sürekli hedefte? Güncel saldırılar, açıklar ve korunma yolları

Tehdit analizi 10 dk okuma 15 Ekim 2026

Kamera ve kayıt cihazları, siber saldırganların 2026'da da en sevdiği hedeflerden. Mart ayında Hikvision'daki 2017 tarihli bir açık CISA'nın "aktif olarak istismar ediliyor" listesine girdi. Nisan'da yama almayan bir DVR modeli yeni bir botnet'in omurgası oldu. Temmuz'da Hollanda istihbaratı, Rus operasyonlarının internete açık kameralarla askerî lojistiği izlediğini duyurdu. Bu yazıda, özellikle Çin menşeli ve markasız (OEM) kameralar çevresinde son dönemde ne olduğunu, saldırganların bunları nasıl ele geçirdiğini, ele geçirince neler yapabildiklerini ve nasıl korunulacağını kaynaklarıyla anlatıyorum.

Önemli ayrım: "Çin menşeli kamera güvensizdir" demiyorum, bunu kaynaklar da söylemiyor. Hikvision ve Dahua gibi büyük üreticiler açıkları yamalıyor. Sorun çoğunlukla yamanın uygulanmaması, desteği biten cihazlar, varsayılan parolalar ve internete açık bırakılmış arayüzler. Bu yazı bir saldırı rehberi değil, savunma amaçlı bir durum analizidir. Yorumlarım ayrıca işaretli.

OEM kamera ne demek, risk nereden geliyor?

OEM ya da "white-label" kamera, bir fabrikanın ürettiği kamera ve yazılımın farklı markaların etiketiyle satılmasıdır. Aynı donanım ve aynı yazılım; farklı kutu, farklı logo ve farklı fiyatla piyasaya çıkar. Fortinet'in Nexcorium botnet'i hakkındaki analizinde de bu nokta öne çıkıyor: hedef alınan TBK DVR modelleri başka markalar adına yeniden etiketlenerek satılıyor, yani cihaz sahibi üreticiyi doğrudan tanımayabiliyor.

Yorum: Bu yapı üç soruna yol açar. Birincisi, açık çıktığında kullanıcı hangi cihazın etkilendiğini anlayamaz, çünkü duyuru başka bir ad altında yapılmıştır. İkincisi, güvenlik duyurusu ve yama dağıtımı için net bir muhatap yoktur. Üçüncüsü, ürün bir iki yıl satıldıktan sonra güncelleme desteği sessizce kesilir. Gelen açıklar bu yüzden çoğu zaman kalıcı olur.

2025-2026'da neler oldu?

Tarih	Olay	Ne öğretiyor?
Haziran 2025	Bitsight, internete canlı yayın yapan 40 binden fazla kamera tespit etti. Çoğu ABD'de, ardından Japonya, Avusturya, Çekya ve Güney Kore. Kimi erişimin kapalı forumlarda satıldığı da görüldü.	Sorun yazılım açığı olmadan da var: kimlik doğrulamasız ya da korumasız yayın.
Temmuz 2025	Bitdefender, Dahua akıllı kameralarda iki kritik açığı duyurdu (CVE-2025-31700 ve CVE-2025-31701). Kimlik doğrulaması gerektirmeden, hazırlanmış paketlerle cihaz çökertilebiliyor, olası ele geçirme riski bulunuyor. Dahua yama yayınladı.	Büyük marka da açık çıkarır, fark yama hızında ve uygulanmasında.
Ekim 2025	Trend Micro, RondoDox botnet'inin DVR, NVR ve CCTV dahil 30'dan fazla üreticinin cihazını, 56 farklı açıkla "av tüfeği" gibi taradığını yazdı.	Saldırgan markaya bakmıyor, bulduğu her açığı deniyor.
Ocak-Mart 2026	Check Point'e göre İran bağlantılı gruplar, İsrail ve Körfez ülkelerindeki Hikvision ve Dahua kameralarına yönelik taramayı 28 Şubat'ta yoğunlaştırdı. Amaç keşif ve gerçek zamanlı gözlem.	Kamera artık siber suçun yanında askerî keşfin de aracı.
5 Mart 2026	CISA, Hikvision'daki CVE-2017-7921 kimlik doğrulama açığını (CVSS 9.8) aktif istismar edilenler listesine (KEV) ekledi. SANS, bu açığa yönelik saldırı denemelerini listeye alınmadan dört aydan fazla önce görmüştü.	2017'den kalma açık hâlâ işe yarıyor, çünkü yamasız cihazlar duruyor.
Nisan 2026	Fortinet, Mirai tabanlı Nexcorium botnet'ini analiz etti. Hedef, TBK DVR-4104 ve DVR-4216 kayıt cihazları (CVE-2024-3721). Makalede üreticiden yama olmadığı belirtiliyor.	Yamasız cihaz, kalıcı hedef demek.
Nisan 2026	CISA ve dört ülkenin kurumu, Çin bağlantılı grupların büyük botnet'leri casusluk için kullandığını duyurdu (AA26-113A). Raptor Train botnet'inde 200 binden fazla cihaz var, içinde kameralar ve kayıt cihazları da bulunuyor.	Kameranız bir başkasının saldırısında sıçrama noktası olabilir.
Temmuz 2026	Hollanda AIVD ve MIVD'nin 10 Temmuz tarihli uyarısına göre, bir Rus istihbarat servisi internete açık kameralarla askerî lojistiği izliyor. Censys, AB, NATO ve Ukrayna'da 87 binden fazla kameranın bilinen istismar edilen bir yazılım sürümü çalıştırdığını söylüyor.	Sıfırıncı gün gerekmedi: varsayılan parola ve eski yazılım yetti.

Mart 2026'daki İran bağlantılı kampanya için Check Point'in sıraladığı açıklar şunlar: CVE-2017-7921 (Hikvision, CISA KEV listesinde), CVE-2021-36260 (Hikvision web sunucusu komut enjeksiyonu), CVE-2023-6895 (Hikvision Intercom Broadcasting System), CVE-2025-34067 (Hikvision Integrated Security Management Platform) ve CVE-2021-33044 (Dahua kimlik doğrulama atlatma) yer alıyor. Check Point, bu açıkların üreticiler tarafından yamalandığını belirtiyor. Yani saldırının hedefi yamalanmış ama güncellenmemiş cihazlardı.

CISA ayrıca ICSA-26-113-05 numaralı bildirimde Hangzhou Xiongmai XM530 IP kamerayı listeliyor. Xiongmai, birçok markasız kameranın içindeki kart ve yazılımın üreticisi olarak biliniyor. Bildirimin ayrıntısına bu yazıyı hazırlarken ulaşamadım, o yüzden teknik içeriğini aktarmıyorum.

Kameraları nasıl ele geçiriyorlar?

Kaynaklarda tekrar eden yöntemler beş ana başlıkta toplanıyor. Burada teknik saldırı adımlarını değil, saldırı sınıflarını ve savunma tarafını anlatıyorum.

İnternette tarama. Saldırganlar tüm internet adres aralığını otomatik araçlarla tarayıp açık kamera arayüzü, DVR ve RTSP yayını arıyor. Hollanda uyarısına göre Rus operatörler kameraları marka bazında parmak izi ile ayırıyor. Marka belli olunca ona uygun varsayılan parola ve açık listesi deneniyor.
Varsayılan ya da zayıf parola. Hollanda uyarısında sıfırıncı gün açığı gerekmediği, varsayılan parolaların, eski yazılımın ve hiç değiştirilmemiş fabrika ayarlarının yettiği söyleniyor. Nexcorium da bulaştığı cihazdan yeni hedeflere yayılırken 40'tan fazla varsayılan parola içeren sabit bir liste deniyor.
Bilinen, yamalanmış ama uygulanmamış açıklar. CVE-2017-7921 (kimlik doğrulama), CVE-2021-36260 (komut enjeksiyonu), CVE-2021-33044 (Dahua kimlik doğrulama atlatma) örnekleri bunun için. Yöntem genellikle cihazın yönetim arayüzüne özel hazırlanmış bir istek göndermek. Cihaz yamalıysa bu denemeler boşa gider.
Yama hiç gelmeyen cihazlar. TBK DVR örneğinde CVE-2024-3721 kimlik doğrulama gerektirmiyor ve Fortinet'in analizini aktaran makaleye göre üreticiden yama yok. Bu açık hem RondoDox hem Nexcorium tarafından kullanıldı. Kaspersky verisine göre internetten erişilebilen 50 binden fazla TBK DVR var ve bunların yoğunlaştığı ülkeler arasında Türkiye de sayılıyor.
Port yönlendirme, UPnP ve bulut röleleri. Kamerayı uzaktan izlemek için modemde port açmak ya da UPnP'nin kendiliğinden port açması, cihazı internete doğrudan bağlar. Dahua açıkları için de en çok risk altındakiler port yönlendirme ya da UPnP üzerinden erişilebilen cihazlar olarak belirtiliyor.

Yorum: Hepsinin ortak noktası saldırganın kapıyı zorlamadığı, açık kapıyı bulduğu. Tarama ucuz ve otomatik, dolayısıyla "kimse benim kameramla ilgilenmez" varsayımı geçerli değil. Cihaz bulunduğu anda sıraya giriyor.

Ele geçirince neler yapabiliyorlar?

Canlı ve kayıtlı görüntüyü izlemek. Bitsight ev girişlerini, oturma odalarını, ofis beyaz tahtalarını, fabrika hatlarını ve bir veri merkezi odasını gösteren yayınlar buldu, bazılarının erişiminin satıldığını da gördü. İran bağlantılı kampanyada amaç keşif ve hasar tespiti, Rus kampanyasında askerî araç ve kargo takibi. Hollanda raporuna göre görüntülerde askerî araçları aramak için görüntü tanıma yazılımı bile kullanılıyor.
Botnet'e katmak ve DDoS yapmak. Nexcorium ve RondoDox ele geçirdikleri cihazlardan UDP, TCP ve HTTP flood saldırıları yapıyor. RondoDox trafiğini oyun, sohbet ya da VPN protokolü gibi gösterip gizliyor.
Gizli proxy ve saldırı altyapısı olarak kullanmak. CISA'nın AA26-113A bildirimine göre saldırganlar ele geçirilmiş cihazları keşiften veri sızdırmaya kadar tüm saldırı aşamalarında "temiz" IP adresi olarak kullanıyor. Bu, coğrafi IP filtrelerini ve davranış tabanlı tespiti atlatmalarını kolaylaştırıyor. Cihaz sahibi, başkasının saldırısının kaynağı gibi görünebilir.
Kripto madenciliği ve ağa sızma. RondoDox kripto madenciliğinin yanı sıra kurumsal ağlara sızma amacıyla da kullanılıyor. Kamera ya da DVR, aynı ağdaki bilgisayara ve sunucuya açılan bir kapıya dönüşebilir.
Fark edilmeden kalmak. Nexcorium'da DVR kayda normal devam ediyor, kötü amaçlı yazılım kurulumdan sonra kendi dosyasını siliyor ve yeniden başlatmadan sonra da çalışmak için dört ayrı kalıcılık yöntemi kuruyor. RondoDox ise iptables, passwd ve reboot gibi sistem dosyalarının adlarını değiştirerek temizliği zorlaştırabiliyor. Yani kamera çalışıyor göründüğü için sorun yok demek yanıltıcı.

Sorun marka mı, yönetim mi?

Yorum: Kanıtlar "Çin menşeli = güvensiz" sonucunu desteklemiyor, ama "OEM, desteksiz ve yönetilmeyen cihaz = riskli" sonucunu güçlü biçimde destekliyor. Bunun üç gerekçesi var:

Hollanda uyarısında saldırıya uğrayan kamera markaları açıklanmıyor. Hedef, marka değil, internete açık ve eski yazılımlı cihaz.
Check Point, İran bağlantılı kampanyada kullanılan açıkların hepsinin yamalandığını belirtiyor. Hikvision ve Dahua yama yayınlıyor, sorun uygulama aşamasında.
Asıl çaresiz kalan grup, yama almayan markasız cihazlar: TBK DVR örneğinde olduğu gibi üretici yama vermiyor ve cihaz birden fazla markayla satıldığı için kullanıcı kendi cihazını bile tanımayabiliyor.

Kamera tedarik zinciri ve ülke politikaları ayrı bir tartışma. Bu yazı onu değil, bir cihaz sahibinin bugün yapabileceklerini ele alıyor.

Ne yapmalı?

Envanter çıkar. Hangi kamera ve kayıt cihazlarının nerede olduğunu, model numaralarını ve yazılım sürümlerini listele. Cihaz etiketi markayı değil modeli gösterir, TBK DVR-4104 ve DVR-4216 gibi modelleri model numarasından kontrol et.
İnternetten erişimi kapat. Modemde port yönlendirmeyi ve UPnP'yi kapat. Uzaktan izleme gerekiyorsa VPN kullan. Hollanda uyarısı da port yönlendirmeyi, UPnP'yi ve üretici bulut rölelerini kontrol etmeyi, yetkisiz erişim için günlüklere bakmayı öneriyor.
Parolayı değiştir. Varsayılan kullanıcı adı ve parolayı değiştir, her cihaza farklı ve uzun parola ver. Destekleniyorsa çok faktörlü doğrulama aç.
Yazılımı güncelle. Dahua için yazılım derleme tarihi 16 Nisan 2025 öncesi olan seriler (IPC-1XXX, IPC-2XXX, IPC-WX, IPC-ECXX, SD3A, SD2A, SD3D, SDT2A, SD2C) CVE-2025-31700 ve CVE-2025-31701 için güncellenmeli. Sürümü web arayüzünde Ayarlar, Sistem Bilgisi, Sürüm bölümünden görebilirsin.
Kamera ağını ayır ve çıkışı kısıtla. Kameraları ve kayıt cihazını bilgisayarlardan ayrı bir VLAN'a al. Kameraların internete çıkışını varsayılan olarak engelle, yalnızca zaman senkronizasyonu ve güncelleme gibi gereken bağlantılara izin ver. Fortinet ve Check Point'in önerileri de aynı yönde: ayrı segment, kısıtlı giden trafik. Ayrıntı için kamera ağını VLAN ile ayırma rehberine ve KOBİ için firewall rehberine bak.
Olağan dışı davranışı izle. Kamera ağından beklenmeyen yoğun giden UDP ya da TCP trafiği, tekrarlanan başarısız giriş denemeleri ve tanımadığın uzaktan erişimler uyarı işaretidir. Router ya da firewall günlüklerinde kamera IP'lerini ayrıca izle.
Desteği biten cihazı değiştir. Yama gelmeyen DVR ya da kamerayı internetten tamamen izole etmek geçici çözümdür. Fortinet analizi de yama almayacak birimlerin değiştirilmesini planlamayı öneriyor.
Kamerayı akıllıca konumlandır. Hollanda uyarısı, lensleri hassas yerlere ya da lojistik hatlarına bakmayacak şekilde konumlandırmayı, kaçınılamayan alanları maskelemeyi öneriyor. Evde ve işyerinde de kameranın neyi gördüğü, bir ele geçirme durumunda neyin dışarı sızacağıdır.

Tüm kamera ve DVR'ların model ve yazılım sürümü kayıtlı mı?
Modemde port yönlendirme ve UPnP kapalı mı?
Uzaktan izleme VPN üzerinden mi yapılıyor?
Fabrika parolası kalan cihaz var mı?
Kameralar ayrı bir ağda ve internete çıkışı kısıtlı mı?
Üreticisi hâlâ güncelleme yayınlıyor mu?
Kamera ağından anormal giden trafik izleniyor mu?

Yeni kamera alırken bakılacaklar

Yorum: Fiyat kadar yazılım desteği de önemli. Alırken şu soruları sor:

Üreticinin yayımlanmış bir güvenlik duyuru sayfası ve açık bildirim kanalı var mı?
Cihaz için kaç yıl güncelleme sözü veriliyor? Söz yoksa, sıfır kabul et.
İlk kurulumda varsayılan parolayı değiştirmeye zorluyor mu?
Uzaktan erişim, internete port açmadan (VPN ya da güvenli bulut) mümkün mü?
Aynı donanım başka adla satılıyorsa, hangisinden güncelleme alacağın belli mi?
Üreticinin geçmiş açıklarına ne kadar hızlı yama yayınladığına bak.

PTZ ve mobese tipi kameralar için seçim ölçütlerini PTZ kamera rehberinde, kayıt cihazı ve disk hesabını NVR hesaplayıcı sayfasında bulabilirsin. Akıllı cihazların yeni yapay zekâ tehditleriyle ilişkisi için Anthropic'in IoT uyarısı yazımıza da bakabilirsin.

Bilinmeyenler

Censys'in 87 bin kamera sayısı, yazılım sürümü eşleşmesine dayanıyor, ele geçirilmiş cihaz sayısı değil. Servis bilgisi, açığın gerçekten erişilebilir olduğunu kanıtlamaz.
Rus operasyonunda hangi kamera markalarının hedeflendiği açıklanmadı.
Türkiye'deki TBK DVR ya da diğer OEM kamera sayısı için güvenilir bir yerel veri bulamadım. Kaspersky verisinde Türkiye'nin yoğun ülkeler arasında geçtiği, makalede yalnızca isim olarak anılıyor.
Xiongmai XM530 bildiriminin teknik içeriğini okuyamadım.
Nexcorium makalesindeki "yama hiç gelmeyebilir" değerlendirmesi o yazının kendi yorumu. Üreticinin resmî açıklaması için üretici sayfasına bakmak gerekir.

Bu yazı genel bilgi amaçlıdır, resmî bir güvenlik duyurusu değildir. Kendi cihazların için üreticinin güncel güvenlik bildirimini esas al. Rakamlar ve iddialar ilgili kaynaklardan alınmıştır ve gelişmelerle değişebilir.

Kaynaklar

Tüm haberlere dön