过去两个月，小红书上有三条帖子被收藏出了不正常的密度：《监控别乱装》点赞3625、收藏5540，《家里的监控，可能不止自己看到》2903个赞、102条评论，10月1日的《我就装了个监控，居然被直播了…》又被1564次收藏。小红书小红书
知乎上，《民警建议家里不要安装摄像头，有哪些方式可以降低风险》一个半月攒下六万多浏览。评论区的语气也在变——前几年吵的还是“家里到底要不要装摄像头”，现在是已经装了的人在问：我家这台，背后还有谁在看？知乎
这篇只服务一类人：家里已经装了摄像头（或双11包裹快到了）、正对着“被直播”话题心里发毛的看娃、看老人、看宠物的家庭。不是教你在酒店找针孔，也不是劝你把家里的拆了。
一、黑产是真的，但“你家被看到”的路径往往很土
先把事实底座交代清楚。央视早在2021年12月就曝光过偷窥黑产链条——400个偷窥摄像头账号只卖150元。中国新闻网2022年5月的报道标题更直白：1人能控制18万个摄像头。微博中国新闻网
2023年11月公安部通报，河南警方打掉的团伙利用漏洞控制了1000余个家用摄像头，偷窥之外还录制视频兜售牟利。《法治日报》2025年3月的调查里，北京市朝阳区人民法院通报的巫某某案用的则是另一条路：通过非法获取的账号及密码入侵控制摄像头，向会员提供实时监控画面牟利。中国新闻网中国新闻网
但案例翻完，一个反直觉的结论浮了出来。在知乎上有摄像头代工厂从业经历的用户判断：绝大多数被入侵的案例，问题不出在设备被破解得多高明，而出在用户自己这边。另一位挂着蜜罐（诱骗攻击者的假设备）的用户贴出登录日志：31天里被尝试的口令去掉重复有30398种，排在最前面的是support、admin、123456，82%的尝试直接拿root当用户名——这份字典抄的就是出厂说明书。字典里为什么有这些词？因为现实中真的有大量设备从安装那天起就没改过默认口令。知乎知乎
归纳下来，自家画面被外人看到只有三条真实路径：
出厂口令没改。默认账号+默认口令，等于把钥匙插在门上。
设备被自己“放”到了公网上。想下班看家里，老办法是在路由器上给摄像头开端口映射，或者开着UPnP让它自动开——登录框就这么挂在了马路边上，扫全网的机器会挨个试。
云账号撞库。App登录的那个账号才是真正的门；它和你在别的网站用了同一个口令，那边一旦泄露，这边就被人登了。注意：这条路跟你的设备新旧、旗舰与否没有任何关系。
二、三个高频误判，先降一半焦虑
“摄像头自己转头＝有人在偷看我？”先排掉两个良性原因：巡航预置位和人形追踪，这俩才是绝大多数“自转”的来源。真正要警惕的从来不是画面在动，而是App登录列表里出现了不认识的设备型号、不认识的地区。
**“民警都说别装了，所以我得拆了？”**2025年2月多地民警的提醒，针对的是Wi-Fi摄像头视频上云加弱密码这个组合，落点是别装卧室浴室、登录要收紧，而不是拆机。社区的反应也很有意思：微博下“这已经建议得很委婉了，看得懂的朋友三思”拿了上万赞，怼回去的“小偷去民宅，建议家里别放东西？”说的其实是同一件事——管好的客厅机位照装，卧室浴室别碰。中国新闻网微博
“没人知道我家IP，安全。”你能在外面用手机看到家里，就一定存在一条从公网进到你设备的通道。正确做法不是赌没人发现门，而是给门加强锁。
三、5分钟自查清单，按性价比排序
查登录设备（最快、能直接看出你中没中招）：打开摄像头App，找“登录设备/在线设备/登录记录”列表。有不认识的机型或地区→改口令、把陌生设备踢下线。
改掉出厂口令：长度比复杂度有用，四个不相关的词连起来，比P@ssw0rd强得多；别用设备型号、门牌号、手机号后几位。
断掉公网入口：进路由器删掉摄像头的端口映射、关掉UPnP；App里的“远程访问/云透传”开关，只在局域网里看，够绝大多数看娃看宠场景。
做网络隔离：路由器带访客WiFi或设备隔离功能的，把摄像头和电脑、手机、NAS放进不同网段，设备被控也跳不过去。
开固件自动更新：用了六七年还在服役、厂商早已停止更新的白牌机型，先退役，尤其别对着卧室。
最有效的一条，不是技术动作：镜头别对着床、书桌和显示器。带物理遮挡片或隐私模式的机型，到家就转过去、盖上——这条解决的隐私问题，比前面五条加起来都多。
双11已经下单的，补一句：新机到货先改默认口令、看过设备列表，再上墙。开机联网的第一站不该是安装位置，而是登录设置页。买前的三年持有成本、详情页安全星级的坑，之前各算过一篇，这里不重复。
四、真发现画面被人看了，怎么办
登录记录截图、App推送、能取到的相关视频链接先存下来，改口令、踢下线，然后报警。这不是“被人恶作剧”的小事：上海市金山区人民法院2023年12月通报的案件里，于某某非法控制100余台摄像头，被判三缓三、处罚金5000元。你家的摄像头被看到，对操作者而言就是非法控制计算机信息系统的刑事问题——这句话的价值在于：它约束着黑产，也是同一部法律在管“邻居的镜头对着你家大门”。微博
摄像头本质上是一台常年在线的小服务器。你不需要是安全从业者，只需要认真管它一次：查列表、改口令、关UPnP——做完这三步，就能从绝大多数“扫描名单”上消失。
最后自查一个问题就够了：你家摄像头的“远程访问”开关，现在是开着还是关着？
