Operation CameraSwarm : 14 500 caméras Dahua piratées

Quand une caméra de surveillance devient un outil de renseignement à grande échelle

Le 19 août 2026, les chercheurs en cybersécurité de Hunt.io ont publié une analyse détaillée d'une campagne d'attaques d'envergure ciblant les caméras de vidéosurveillance du fabricant chinois Dahua Technology. Baptisée Operation CameraSwarm, cette campagne a permis à un opérateur identifié comme russophone de compromettre 14 530 dispositifs Dahua entre le 17 juin et le 22 juillet 2026, soit une période de 35 jours d'activité soutenue et largement automatisée. L'analyse a également été reprise par The Hacker News et BleepingComputer, qui soulignent l'ampleur inédite de la compromission.

La découverte de cette opération est elle-même le fruit d'une erreur opérationnelle de l'attaquant : l'exposition accidentelle d'un répertoire de travail de 407 mégaoctets, contenant 2 616 fichiers répartis dans 234 sous-répertoires. Ces fichiers comprennent des outils offensifs, des journaux d'activité, l'historique des commandes shell, et l'intégralité des enregistrements de la campagne. C'est à partir de cet artefact exposé que Hunt.io a pu reconstituer avec précision le déroulement des opérations, les méthodes employées et l'ampleur réelle de la compromission. Cette visibilité exceptionnelle sur l'infrastructure adverse est rare dans le domaine de la threat intelligence IoT.

Les techniques employées par l'opérateur combinent trois vecteurs d'attaque distincts. En premier lieu, des attaques par dictionnaire et force brute ont été menées contre les interfaces d'administration des caméras, exploitant la persistance des identifiants par défaut sur de nombreux appareils non reconfigurés après installation. En parallèle, l'opérateur a exploité deux vulnérabilités d'authentification connues depuis 2021, référencées CVE-2021-33044 et CVE-2021-33045, qui permettent de contourner l'authentification sur les caméras Dahua non mises à jour. Ces deux failles avaient été corrigées par Dahua sous la référence SA-2021-0130, mais de nombreux appareils déployés en production n'ont jamais reçu cette mise à jour firmware, cinq ans après sa publication.

Un troisième vecteur, particulièrement sophistiqué, repose sur la fonctionnalité P2P (peer-to-peer) intégrée aux caméras Dahua pour leur gestion cloud. En recalculant les codes de récupération hors ligne à partir des numéros de série des appareils enregistrés dans le cloud du fabricant, l'attaquant a pu obtenir un accès non autorisé à 283 caméras supplémentaires via ce canal, sans passer par l'interface d'administration locale. Cette technique exploite une logique de génération de codes de récupération insuffisamment aléatoire, permettant à un attaquant connaissant le numéro de série d'un appareil de prédire ou recalculer son code d'accès hors ligne.

Au total, 1 923 caméras ont été reconfigurées avec un compte backdoor persistant, garantissant à l'opérateur un accès durable à ces dispositifs même après une modification ultérieure du mot de passe principal par le propriétaire légitime. Les compromissions confirmées se concentrent géographiquement en Ukraine et en Russie — une répartition qui confère à cette opération une dimension géopolitique évidente dans le contexte du conflit armé en cours. Les chercheurs soulignent néanmoins que l'activité n'a pas été attribuée à un acteur étatique nommé ni à un groupe APT connu : l'identification de l'opérateur comme russophone repose sur des artefacts linguistiques récupérés dans le répertoire exposé — commentaires de code, noms de variables, messages dans les journaux — et non sur une attribution formelle.

La nature des informations accessibles via ces caméras compromises soulève des préoccupations sérieuses. Les dispositifs Dahua sont massivement déployés dans des contextes potentiellement sensibles : infrastructures critiques, bâtiments gouvernementaux et municipaux, installations industrielles, zones frontalières et postes de contrôle. En Ukraine, où le conflit armé est en cours, la compromission de caméras de surveillance installées en bord de route, aux accès de bâtiments stratégiques ou dans des zones logistiques à vocation militaire représente une menace directe pour la sécurité opérationnelle des forces ukrainiennes. Le fait que l'opérateur ait maintenu un accès persistant sur près de 2 000 appareils pendant plusieurs semaines sans être détecté illustre la difficulté de superviser des flottes IoT géographiquement dispersées.

Du point de vue technique, l'exploitation des CVE-2021-33044 et CVE-2021-33045 est particulièrement révélatrice d'un problème structurel de l'écosystème IoT. Ces vulnérabilités avaient été divulguées et corrigées par Dahua il y a cinq ans, mais les cycles de mise à jour firmware restent rarissimes dans le monde de la vidéosurveillance professionnelle. Les opérateurs de terrain ne disposent pas toujours des processus ou des ressources nécessaires pour maintenir les firmwares à jour, et les fabricants ne proposent pas systématiquement de mécanismes de mise à jour automatique. Cette dette technique accumulée transforme des milliers d'appareils en vecteurs d'attaque exploitables pendant des années après la correction officielle de la faille.

Hunt.io a publié des indicateurs de compromission (IoC) issus du répertoire de travail exposé par l'attaquant, permettant aux équipes de sécurité de vérifier si leurs appareils ont été ciblés. Les recommandations immédiates portent sur l'application du patch Dahua SA-2021-0130 ou d'une version firmware ultérieure, la désactivation de la fonctionnalité P2P lorsqu'elle n'est pas indispensable, et la vérification de l'absence de comptes administrateurs inconnus dans l'interface de gestion de chaque appareil.

L'IoT en zone de conflit, angle mort persistant de la cybersécurité opérationnelle

Operation CameraSwarm s'inscrit dans une tendance bien documentée : l'exploitation massive des appareils IoT comme vecteurs d'espionnage, de collecte de renseignements ou de préparation d'opérations offensives plus complexes. Les caméras de surveillance présentent un profil d'attaque idéal pour un acteur cherchant à constituer une capacité de reconnaissance persistante : elles sont connectées en permanence, rarement supervisées du point de vue sécurité, disposent de ressources de calcul suffisantes pour héberger un implant discret, et captent des flux visuels d'une valeur renseignement considérable en contexte de conflit.

Cette opération n'est pas isolée. En 2021, des chercheurs avaient déjà documenté des accès non autorisés à des caméras Dahua déployées dans des infrastructures sensibles chinoises et américaines. En 2023, la CISA avait publié un avertissement conjoint avec ses partenaires du groupe Five Eyes sur l'exploitation des équipements IoT par des acteurs liés à la Chine dans le cadre de Volt Typhoon. En 2025, des opérations similaires avaient été documentées en Europe de l'Est, ciblant des caméras de surveillance installées sur des carrefours routiers et des installations logistiques dans le contexte du conflit ukrainien. CameraSwarm s'inscrit dans la continuité directe de ces précédents et confirme que les caméras de surveillance constituent un vecteur de renseignement systématiquement exploité.

Pour les entreprises et administrations françaises, la menace est concrète. La France compte des millions de caméras de vidéosurveillance déployées dans l'espace public et dans les entreprises, dont une part significative provient de fabricants asiatiques — Dahua et Hikvision en tête. L'ANSSI a émis des recommandations répétées sur la sécurisation des appareils IoT, et le référentiel de qualification des systèmes de vidéoprotection impose des exigences de sécurité aux marchés publics. Mais le parc privé reste largement exposé, avec des appareils parfois déployés depuis plusieurs années sans avoir reçu une seule mise à jour firmware, exactement comme dans les cas documentés par CameraSwarm.

La dimension chaîne d'approvisionnement interpelle également sur la confiance accordée aux équipements de fabricants soumis à des législations nationales potentiellement contraignantes. Dahua Technologies, dont plusieurs filiales figurent sur la liste des entités du Département du Commerce américain depuis 2019, continue d'être massivement utilisée en Europe. La loi chinoise sur le renseignement national de 2017 pose la question de l'obligation pour les entreprises chinoises de coopérer avec les services de sécurité de leur pays d'origine, une question que CameraSwarm rend à nouveau très concrète.

Ce qu'il faut retenir

• 14 530 caméras Dahua compromises en 35 jours par un opérateur russophone via CVE-2021-33044/33045 et force brute — des failles corrigées depuis cinq ans mais jamais patchées sur de nombreux appareils.
• 1 923 appareils ont reçu un compte backdoor persistant ; les compromissions se concentrent en Ukraine et en Russie, avec des implications directes en termes de renseignement militaire.
• Action immédiate : appliquer le patch SA-2021-0130, désactiver le P2P cloud, auditer les comptes administrateurs et vérifier les IoC publiés par Hunt.io sur l'ensemble du parc Dahua.