Per nove giorni, tra il 23 settembre e il 1° ottobre 2026, quattro indirizzi IP hanno scandagliato metodicamente le telecamere e i DVR Hikvision esposti in Ucraina, sfruttando un comando injection vecchio di cinque anni. Nessun malware scaricato, nessun tentativo di nascondersi dietro un comando diverso dall’altro: solo lo stesso probe, ripetuto migliaia di volte, concentrato esclusivamente su obiettivi ucraini. È il tipo di disciplina operativa che secondo i ricercatori di GreyNoise, che hanno isolato la campagna, difficilmente si vede nel rumore di fondo degli scanner opportunistici.

Una vulnerabilità vecchia, un bersaglio molto specifico

La falla sfruttata è CVE-2021-36260, un command injection con punteggio CVSS 9,8 che consente l’esecuzione di comandi da remoto e senza autenticazione su diversi modelli di telecamere IP e DVR Hikvision. Hikvision ha rilasciato la patch nel 2021, ma cinque anni dopo il parco installato di dispositivi con firmware non aggiornato resta enorme: ricerche indipendenti hanno rilevato decine di migliaia di unità ancora esposte su internet a livello globale, e SonicWall ha registrato oltre 67 milioni di tentativi di attacco contro telecamere Hikvision nelle sole reti del Regno Unito nel 2025, circa un quinto di tutti gli attacchi di severità medio-alta osservati dall’azienda. Non è quindi la vulnerabilità a rendere interessante questa campagna, ma la sua geografia: secondo GreyNoise, tutte le richieste sospette erano dirette verso dispositivi in Ucraina, e i quattro IP coinvolti non sono mai comparsi nei sensori dell’azienda al di fuori del Paese, nonostante attacchi simili a telecamere Hikvision vengano osservati regolarmente altrove nel mondo.

Quattro IP, un solo operatore

GreyNoise ha ricostruito la campagna analizzando il traffico raccolto dai propri sensori: quasi tutta l’attività proveniva da quattro indirizzi IP. Tre erano nodi di uscita del servizio VPN commerciale PureVPN con geolocalizzazione in Lituania, il quarto apparteneva invece a una rete ucraina. I ricercatori ritengono probabile che dietro i tre IP PureVPN ci sia un unico operatore, mentre collegano l’IP ucraino alla stessa campagna con un livello di confidenza più basso. Il comando utilizzato per testare la vulnerabilità era identico in ogni richiesta e ricalcava un template pubblico per Nuclei, il popolare scanner di vulnerabilità open source: segno che l’operazione puntava a mappare rapidamente quali dispositivi fossero ancora vulnerabili, non a dimostrarne subito il controllo. GreyNoise non ha infatti trovato prove di download di malware né di accesso effettivo ai flussi video, e non può confermare che un solo dispositivo sia stato compromesso con successo: la campagna, per quanto osservato, si è fermata alla fase di ricognizione.

Perché una telecamera vale più di un video

Il valore di una rete di telecamere compromesse in un Paese in guerra non sta (solo) nel contenuto delle riprese. Un accesso silenzioso a un sistema di videosorveglianza permette di osservare il territorio, i movimenti di mezzi e persone, e in alcuni casi persino gli effetti di un attacco cinetico, senza bisogno di presenza fisica sul posto né di un asset umano da proteggere. Non è un rischio teorico: nella stessa finestra temporale, GreyNoise segnala che la Russia ha intensificato attacchi missilistici e con droni contro l’Ucraina, pur specificando esplicitamente di non poter stabilire un collegamento diretto tra le due cose (“non possiamo dire se le due cose siano connesse”, la cautela dei ricercatori). Il precedente più citato in questo ambito resta quello dell’intelligence israeliana, che per anni avrebbe avuto accesso alle reti di telecamere del traffico in Iran a scopo di sorveglianza (“conoscevamo Teheran come conosciamo Gerusalemme”, avrebbe dichiarato un funzionario), mentre in senso opposto Teheran è stata accusata di aver usato telecamere di sicurezza private in Israele per raccogliere informazioni. Non è inoltre la prima volta che le telecamere Hikvision finiscono sotto osservazione in chiave di sicurezza nazionale: lo scorso luglio questa testata aveva già documentato come l’intelligence russa sfrutti reti di telecamere IP per monitorare le rotte di rifornimento NATO verso l’Ucraina, segno di un interesse operativo consolidato — e bidirezionale — per questo tipo di infrastruttura.

Attribuzione: nessuna certezza, molte domande aperte

GreyNoise non attribuisce la campagna a un attore o a uno Stato specifico, e l’unico elemento geografico concreto resta il collegamento a bassa confidenza con l’indirizzo IP ucraino. L’uso di infrastruttura VPN commerciale per mascherare l’origine reale del traffico è del resto una pratica comune tanto a operatori criminali quanto a gruppi legati a Stati, e da sola non costituisce un indizio di attribuzione. Quello che emerge con maggiore chiarezza è il profilo operativo: una finestra temporale precisa, un bersaglio geografico univoco, uno strumento standard riutilizzato in modo sistematico e nessuna “rumorosità” tipica degli scanner opportunistici che colpiscono indiscriminatamente ovunque nel mondo. Per i difensori, l’attribuzione resta meno urgente della domanda operativa: chiunque sia stato, aveva già mappato quali telecamere ucraine restano vulnerabili a una falla nota dal 2021.

Cosa fare

Per chi gestisce dispositivi Hikvision, specialmente in contesti sensibili o in prossimità di infrastrutture critiche, la raccomandazione resta la stessa da cinque anni, solo più urgente oggi: verificare la versione firmware installata e applicare la patch per CVE-2021-36260 se non è già stata distribuita, individuare ed eliminare ogni esposizione diretta di telecamere e DVR su internet pubblico, e mettere questi dispositivi dietro VPN o segmentazione di rete dedicata. Vale anche la pena monitorare i log di accesso per pattern di richieste ripetitive e identiche, la firma tipica di una scansione basata su template come quella osservata in questa campagna, e trattare ogni telecamera IoT esposta — per quanto banale possa sembrare rispetto a un server aziendale — come un potenziale sensore nelle mani di qualcun altro.

Indicatori di compromissione

# Vulnerabilità sfruttata
CVE-2021-36260 (CVSS 9.8) - command injection non autenticato
Dispositivi: telecamere IP e DVR Hikvision con firmware non aggiornato

# Finestra della campagna
Primi probe:        21 settembre 2026
Sfruttamento attivo: 23 settembre - 1 ottobre 2026 (9 giorni)
Dopo il 1 ottobre:   nessuna ulteriore attività dagli stessi IP

# Infrastruttura osservata (4 IP totali)
3x IP - nodi di uscita PureVPN, geolocalizzati in Lituania
1x IP - rete ucraina (collegamento a bassa confidenza)

# Tooling
Template pubblico Nuclei per CVE-2021-36260
Comando di test identico in tutte le richieste osservate

# Target
Esclusivamente dispositivi geolocalizzati in Ucraina

Gli indirizzi IP specifici non sono stati resi pubblici da GreyNoise; per i dettagli completi si rimanda alla pubblicazione originale dei ricercatori.