1. 弱密码与默认凭证
- 问题：许多设备出厂时使用默认用户名和密码（如admin/admin），用户未及时修改。
- 风险：攻击者可轻松登录设备或关联的云服务，窃取数据或控制设备。
2. 未加密通信
- 问题：设备与云端、手机App之间的数据传输未加密或加密强度不足（如使用HTTP而非HTTPS）。
- 风险：黑客可通过中间人攻击（MitM）截取视频流、密码或开锁指令。
3. 固件漏洞
- 问题：
- 设备固件存在未修复的已知漏洞（如缓冲区溢出、命令注入）。
- 厂商未提供定期安全更新或用户未及时升级。
- 风险：攻击者可利用漏洞远程执行恶意代码，完全控制设备。
4. 云服务与API漏洞
- 问题：设备依赖的云平台或API接口存在安全缺陷（如未授权访问、注入漏洞）。
- 风险：黑客可通过入侵云端账户批量控制设备，窃取大量用户隐私数据。
5. 本地网络暴露
- 问题：
- 设备开放不必要的端口（如Telnet、SSH）。
- UPnP（即插即用）配置不当导致设备暴露在公网。
- 风险：攻击者可直接从互联网扫描并入侵设备，进而渗透整个家庭网络。
6. 物理安全缺陷
- 问题：
- 设备外壳易拆卸，可通过物理接触重置或提取数据。
- 智能门锁的机械结构可能被暴力破坏或技术开锁。
- 风险：设备被直接窃取或绕过电子系统实施侵入。
7. 用户身份验证缺陷
- 问题：
- 缺乏多因素认证（MFA），仅依赖单一密码。
- App或设备允许无限次密码尝试。
- 风险：攻击者通过暴力破解或钓鱼获取账户权限。
8. 隐私数据泄露
- 问题：
- 摄像头视频或门锁访问记录存储在安全性不足的服务器上。
- 厂商或第三方应用过度收集用户数据。
- 风险：敏感信息（如家庭生活录像、出入时间）被非法售卖或公开。
9. 供应链攻击
- 问题：设备制造商或供应商的软件/硬件被植入后门或恶意代码。
- 风险：大量设备在出厂前即存在无法察觉的安全隐患。
10. DDoS攻击参与
- 问题：设备被入侵后加入僵尸网络（如Mirai），用于发动分布式拒绝服务攻击。
- 风险：用户设备成为网络攻击的帮凶，同时自身性能下降。
防护建议
强密码与更新：修改默认凭证，启用双因素认证，定期更新固件。
网络隔离：将IoT设备置于独立网络（如访客网络），禁用UPnP。
加密与防火墙：确保设备使用加密通信（HTTPS/WPA3），配置路由器防火墙规则。
隐私设置：关闭非必要的数据收集功能，定期清理云端记录。
厂商评估：选择有安全更新承诺的品牌，避免“白牌”低价设备。
通过综合技术防护与用户意识提升，可显著降低物联网设备的安全风险。
