2018年11月，360发布的《典型IoT设备网络安全分析报告》提示，与IoT设备相关的漏洞增长率比漏洞整体增长率高出14.7%。远程弱口令、预置后门、敏感信息泄露是IoT设备三大常见漏洞。报告显示，用户对IoT设备安全的担忧，排名居首的就是隐私泄露及盗窃，其次是人身安全、支付安全、病毒攻击和WiFi风险。
值得注意的是，为隐私泄露埋下隐患的，不止是摄像头漏洞。“路由器漏洞同样有可能导致摄像头被控制。”一位安全圈专业人士告诉新京报记者。
知道创宇404实验室副总监隋刚向新京报记者介绍，“如果摄像头的传输协议是明文的，是可以抓到用户名和口令，同时拿到路由器的权限意味着打通了内网,通过其他工具加上用户名和密码，就可以控制了。”
腾讯安全云鼎实验室发布的《2018年IoT安全威胁分析报告》显示，路由器、摄像头和智能电视是被攻击频率最高的三款IoT设备，占比分别达到45.47%、20.71%和7.61%。占据IoT设备攻击量将近一半的路由器，由于市场保有量巨大，一旦被爆出漏洞，极易引发大范围的攻击。
上述安全圈专业人士介绍，通过攻击路由器，不法分子不仅可以控制摄像头，还可以监控用户的网络行为。
早在2015年，便有网友在“吾爱破解”网站的“悬赏问答区”中提及飞鱼星路由器漏洞。帖子称“飞鱼星上网行为管理路由器可获取加密后的用户密码”，并提供了飞鱼星路由器的密文密码，悬赏50吾爱币寻求密码。
记者发现，时隔4年，部分飞鱼星路由器的密文密码仍然直接被显示，通过开源软件的密码字典便可以得到登录密码。
6月26日，安全人士佳伟（化名）通过Zoomeye搜索关键词“volans”（飞鱼星）共搜索到111393条结果，其中包含设备111056台，网站205个。
通过资料卡中的IP地址信息，安全人士佳伟随机进入一台路由器的登录页面，发现该路由器的密文密码被保存在网站的某个根目录下面，对访问并没有进行限制。也就是说，该路由器存在敏感文件泄露漏洞，可导致管理密文密码泄露。
“将该字符串导入目前常用的开源密码恢复工具后，借助密码字典，便可以得到这台路由器的密码。”白帽子于小葵（化名）告诉新京报记者。
佳伟对钟馗之眼显示的前五页路由器进行了测试，前五页共包含100台路由器，其中90台为在线状态，十台为离线条测试成功，获取密码的整个过程共花费了约十几秒。
“显示的字符串实际上是密文密码，理论上来讲，只要能得到密文密码这些路由器是可以破解的，只是密码字典的大小和时间问题。”白帽子于小葵说。
Zoomeye显示，在飞鱼星的客户中，中国以107593的数量成为榜首。从全球视角分布图来看，北京、上海、香港、成都、东莞、沈阳六个城市分布十分密集。
于小葵向新京报记者表示，该路由器攻击门槛极低，但是隐患极大，管理密文密码直接显示无异于为黑客直接敞开了后门。“几乎不需要技术，初级黑客都可以登录路由器的后台。路由器下面的电脑全部通过路由器与互联网相连，存在极大的风险。”
安全谷（北京）科技有限公司经理菅弘向新京报记者表示，路由器一旦被攻击，用户行为很容易被监控。“可以通过对WiFi攻击，入侵路由器之后，看到路由器下面所有的设备，也可以通过技术手段监控摄像头。”
除了偷窥你的摄像头，“他们（黑客们）可以通过抓包或者DNS劫持的方式监控用户的上网痕迹，或者篡改路由器上的DNS服务器IP，把DNS变成黑客的恶意DNS服务器。这样，当局域网内的用户访问网站时，用户的计算机就会解析别的IP进行挖矿、钓鱼攻击等行为。”于小葵说。
制造飞鱼星路由器的厂家为成都飞鱼星科技股份有限公司（简称飞鱼星）。该公司于2014年在新三板挂牌。
2018年9月，国家市场监督管理总局官网通报了路由器产品质量国家监督抽查结果。抽查发现，有3批次产品不符合标准的规定，涉及发热要求、电源端子传导骚扰电压项目，其中包括成都飞鱼星科技股份有限公司的无线日下午，新京报记者将该漏洞测试过程向飞鱼星进行了提交，飞鱼星工作人员联系技术部门后表示，“当前确实存在此问题。”
那么，为何四年一直未对该漏洞进行修复呢？飞鱼星客服表示已将记者问题反馈到市场部。至截稿前，未获回应。
3月7日，公安部新闻发布会通报全国公安机关开展“净网2018”专项行动相关情况。
山东济宁市公安局网安支队支队长刘建介绍，不法分子在少数宾馆客房非法安装摄像头，偷拍宾馆房客，并在网上出售观看账号，已经形成黑色产业链。涉案主犯通过互联网购买智能摄像头后，拆下摄像头外壳改装成隐蔽摄像头，安装在宾馆吊灯、空调等隐蔽处，通过手机下载的智能摄像头APP软件收看隐蔽摄像头回传画面，同时将回传画面中的裸体、不雅等镜头截屏发给下线代理，下线代理通过微信、QQ群发布截屏，吸引网民购买摄像头观看账号。
在公安部统一指挥下，济宁公安机关在全国抓获犯罪嫌疑人29名，扣押作案用微型网络摄像头300余个，手机64部，银行卡56张，查获偷拍的酒店客房视频10万余部。
刘建表示，作为提供公共服务的酒店宾馆，应该加强安全管理，充分保护顾客个人隐私。公民一旦发现侵犯公民个人信息的违法犯罪行为，在保存相关证据的同时，要及时向公安机关报告，公安机关将依法予以严厉打击。
安全谷（北京）科技有限公司经理菅弘告诉新京报记者，张良碰到的摄像头后面的针极有可能是一个天线。菅弘建议，可通过专门的便携仪器，通过红外线和激光来寻找反光点，从而识别摄像头。还可通过无线信号探测器锁定信号发射源来探测。不过，即便依靠设备，也并不能保证万无一失。“有的镜面物体会造成仪器误报。此外，一些无线传输摄像头有可能会伪装成WiFi信号或者其他波段的信号，被称为‘双信号伪装’，并不是十分容易发现。”
不过党占荣认为，在各种偷拍事件的司法实践中，存在一定难处。当这些偷拍视频进入到利益链中的时候，受害者甚至并不知情。“在司法实践中对类似这样的偷拍事件，消费者几乎没有防范能力，当前的各种针孔微型摄像头，在房间内一般很难发现。”
“此外，从目前的法律规定来看，在偷拍事件中，还停留在民事赔偿和行政处罚阶段，在刑事上很难去界定定性。因此在面对偷拍产业链巨大利润时，显然违法成本还是相对较低，处罚力度不足以震慑偷拍者。”党占荣表示。
菅弘表示，用户需要提高家居摄像头使用的安全意识。“家居摄像头一般与WiFi相连，用户可以通过手机远程观看。但很多普通用户对近些年兴起的家居摄像头根本不了解，大部分人都是基于操作级的。甚至许多用户使用的都是设备出厂时默认的用户名，根本没有修改。”
党占荣建议，如果遇到隐私被泄露了，受害者应首先进行报警，由警方调查取证，固定证据，其次受害者也可以对网络或者其他载体的照片、视频等隐私材料进行证据保全，查证隐私泄露的过程，最终确定相关泄露者，以便受害者将来进行维权。
