家裡的攝影機是用來看家的，但如果設定不當，它也可能變成別人看你家的窗口。這一區談的是家用網路攝影機、監控主機與相關設備，從選購、設定到隱私與法規的重點，用的是政府機關與國際資安單位的公開建議，不追逐品牌，也不提供特定產品的評比。
本頁是監視器與居家安全分類的導覽，先講設備風險的來源，再列出你可以立刻做的設定與一份自我檢查。
為什麼家用攝影機會有資安風險？
網路攝影機本質上是一台聯網的小電腦，有帳號、有軟體、有網路連線。TWCERT/CC 整理的威脅包括：沒有改的出廠密碼，攻擊者可用暴力嘗試或已知預設帳密清單入侵；沒更新的韌體可能帶有漏洞；沒有防火牆、直接暴露在網際網路上的設備更容易被找到。（據TWCERT/CC：網路攝影機資安威脅與防護報告） 該文在 2022 年提到，當時有 969 台台灣的攝影機畫面被公開列在 Insecam 網站上，涵蓋辦公室、住家、診所與工廠。（據TWCERT/CC：網路攝影機資安威脅與防護報告）
科技大觀園介紹網路攝影機資安標準時，也點出類似的問題：預設密碼沒改、缺少身分驗證、傳輸沒有加密、缺少紀錄與警示功能，使用者難以發現入侵。（據科技大觀園：網路攝影機的資安標準指引）
IP Cam、DVR 與 NVR 有什麼差別？
三個名詞常被混用，先分清楚有助於判斷風險落在哪裡。
| 名詞 | 是什麼 | 資安上要注意什麼 |
|---|---|---|
| IP Cam（網路攝影機） | 能直接連網路、自己有帳號登入介面的攝影機 | 預設密碼、韌體更新、是否對外開放 |
| NVR（網路錄影機） | 接收並儲存多台 IP Cam 畫面的主機 | 它本身也有帳號與韌體，要一併更新與設定密碼 |
| DVR（數位錄影機） | 常連接傳統類比攝影機並錄影的主機 | 同樣有帳號與遠端存取功能，常被忽略 |
| 雲端攝影機服務 | 畫面上傳到業者的雲端，用 App 查看 | 風險集中在業者與你的帳號 |
不管是哪一種，只要能遠端存取，就要把它當成一台需要維護的電腦，而不是插上電就能不管的家電。
最先該做的設定有哪些？
CISA 的家用網路建議與 TWCERT/CC 的防護建議，內容高度重疊。整理成一份先後順序：
- 改掉預設帳號與密碼。 CISA 指出，多數網路設備出廠時預設有管理員密碼，目的是簡化設定，但這些預設值並不安全。（據CISA：Home Network Security指引） 密碼要長、獨特，不要與其他帳號共用。
- 更新韌體。 到廠商網站確認是否已在使用最新韌體；韌體更新會改善效能、修正瑕疵，也處理安全漏洞。（據CISA：Home Network Security指引）
- 關閉不需要的遠端管理。 許多路由器可以從網際網路檢視與修改設定，不需要時應關閉，避免他人更動你的路由器設定。（據CISA：Home Network Security指引）
- 不要讓攝影機直接暴露在網際網路上。 TWCERT/CC 的建議包括使用防火牆、將攝影機隔離到獨立網路、開啟 SSL/TLS 加密與影像加密功能。（據TWCERT/CC：網路攝影機資安威脅與防護報告）
- 有提供就開啟多因素驗證。 這與 CISA 給一般使用者的基本建議一致。（據CISA Secure Our World指引）
- 確認 Wi-Fi 加密。 CISA 建議家用路由器使用 WPA3 Personal 搭配 AES。（據CISA：Home Network Security指引）
路由器是整個家的大門
攝影機再安全，如果路由器仍然是預設密碼、沒更新，整個家的設備都會暴露。路由器的密碼與韌體，要和攝影機一起處理。雲端儲存和本機儲存，哪一種比較好？
沒有單一答案，因為兩者的風險來源不同。
| 項目 | 雲端儲存 | 本機儲存（SD 卡或 NVR） |
|---|---|---|
| 畫面放在哪裡 | 業者的伺服器 | 自己家裡的設備 |
| 主要風險 | 業者被入侵、你的帳號被盜 | 設備被入侵、被偷走、遠端連線設定不當 |
| 你要負責的事 | 保護好帳號，了解業者的資料政策 | 自己更新、隔離網路、做備份 |
| 設備遺失或被破壞時 | 畫面已在雲端 | 畫面可能一起遺失 |
TWCERT/CC 提醒，雲端系統並非沒有風險；其文章以 2021 年 Verkada 事件為例，說明超過 15 萬路的監控畫面曾被外洩，涵蓋醫院、警察局、監獄與學校。（據TWCERT/CC：網路攝影機資安威脅與防護報告） 所以無論選哪一種，重點是：了解畫面存在哪裡、誰能看、保存多久，並替帳號開啟多因素驗證。
買攝影機時要看哪些資安條件？
不用背技術名詞，把下面當成購買前的提問：
- 首次設定時，是否強制你設定新密碼，而不是沿用出廠密碼。NIST 把「消費性物聯網產品」所需的資安能力整理成基準，並指出這些能力以資安成果來描述，適用於整個產品。（據NIST IR 8425：消費性物聯網產品基準指引）
- 廠商是否持續提供韌體更新，以及更新多久。
- 是否支援加密傳輸與多因素驗證。
- 是否有符合資安標準的說明。TWCERT/CC 提到台灣有網路攝影機的資安標準 CNS 16120，以及消費型攝影機標準 TS-0038，涵蓋身分驗證、加密、韌體更新與隱私保護。（據TWCERT/CC：網路攝影機資安威脅與防護報告）
- 廠商是否說明畫面存在哪裡、是否分享給第三方。
- 實體上是否容易被取走記憶卡或被拆開。
科技大觀園也說明，該標準要求的功能包含身分驗證、敏感資料的加密、完整性驗證，以及首次啟動時強制修改密碼與經加密管道更新韌體。（據科技大觀園：網路攝影機的資安標準指引）
裝監視器會不會侵犯別人的隱私？
可能會。個資法要求個人資料的蒐集、處理或利用，不得逾越特定目的之必要範圍；非公務機關蒐集個資也需要有特定目的並符合法定條件。（依個人資料保護法測試） 家用攝影機拍到的人臉與行動，可能屬於可識別個人的資料。
實務上的原則很容易記：鏡頭對著自己的空間，不要拍到鄰居的窗戶、公共通道或別人的家；畫面不要隨意轉傳或公開。這些原則在不同情境下的法律分析，請看裝監視器會侵犯隱私嗎，更廣泛的隱私權與個資法概念整理在隱私與個資專區。本站不提供法律意見，個案請諮詢律師或主管機關。
家裡的手機 App 與帳號，需要另外保護嗎？
需要。很多人看家用攝影機的 App，登入的是同一個信箱與密碼。只要這組帳號被盜，攻擊者不需要攻破攝影機本身，就能看到畫面。所以除了設備端的設定，App 的登入也要比照重要帳號處理：獨立的密碼、開啟多因素驗證、定期檢查登入裝置，並且不要把畫面分享連結隨意轉傳。（據CISA Secure Our World指引）
設備太舊、廠商不再更新了怎麼辦？
這是家用設備最常被忽略的問題。CISA 的家用網路建議以及 TWCERT/CC 的防護建議都強調要更新韌體，並優先選擇有持續提供支援的廠商。（據TWCERT/CC：網路攝影機資安威脅與防護報告） 一旦廠商停止提供更新，已知的漏洞就不會再被修補。這時可以做的事包括：
- 將設備與其他裝置隔離在獨立的網路，並關閉所有對外的遠端存取。
- 確認設備已經改過密碼，並停用不必要的功能。
- 規劃汰換，不要因為「還能用」就一直放著。
另外也要注意實體安全：放在門口附近、能被輕易取走記憶卡的設備，即使網路設定再好，畫面仍可能被人帶走。
如果懷疑攝影機被入侵了怎麼辦？
可能的徵兆包括：鏡頭自己轉動、出現沒看過的登入紀錄、帳號登入通知、設備反常變慢或被重設。可以這樣處理：
- 先把攝影機從網路上斷開，或關閉遠端存取。
- 重設設備、更換為新的長密碼，並更新到最新韌體。
- 更換路由器與相關帳號的密碼，檢查有沒有陌生的登入裝置。
- 如果使用雲端服務，登出所有裝置並開啟多因素驗證。
- 有被勒索或被利用來詐騙的情況，可撥 165 諮詢，需要警方立即處理則撥 110。
- 帳號被盜的處理，可看帳號被盜怎麼辦總整理。
居家安全自我檢查
- 每一台攝影機與 NVR，我都改過預設帳號與密碼，且密碼不重複。
- 我知道每台設備目前的韌體版本，並確認過是否為最新。
- 路由器已更新、改過管理密碼，並關閉不需要的遠端管理。
- 攝影機沒有直接暴露在網際網路上，必要時放在獨立的網路。
- 雲端服務的帳號已開啟多因素驗證。
- 我知道畫面存在哪裡、保存多久、誰可以看。
- 鏡頭範圍限縮在自己的空間，沒有拍到鄰居或公共通道。
- 廠商仍在提供更新；已停止支援的舊設備，我有汰換計畫。
接下來該讀哪裡？
要了解法律界線，先看裝監視器會侵犯隱私嗎。想把家裡的帳號一起保護，可以看兩步驟驗證怎麼開與密碼管理工具怎麼選。對資安整體還沒有概念的話，先讀資安基本觀念與自保清單。本站依官方與公開機構的說明整理，設備與軟體的實際設定畫面會因廠牌與版本而異，請以廠商說明為準。