打开Insecam.org，国外首页直接甩出几万个摄像头的监控实时画面。东京某家便利店收银台、直播洛杉矶一个车库门口、网站德国乡下养鸡场的国外角落——全是活的，动着的监控。这不是直播电影场景，是网站真实存在的网站，服务器架在俄罗斯，国外收录了全球范围内未设密码或使用默认密码的监控监控摄像头。

这类网站不止一个。直播Insecam算是网站最出名的一个，2014年上线时号称覆盖73个国家、国外超过7万台设备。监控它的直播运作逻辑简单到粗暴：扫描公网IP段，尝试用admin/admin、root/123456这类默认凭据登录，成功就连上去。你看到的画面可能来自一家咖啡馆的安防探头，也可能是某个家庭婴儿房的监控。

我第一次点进去的时候，刷到一个澳大利亚牧场的画面。镜头对着牛栏，牛在吃草，风吹得画面轻微晃动。右上角显示IP地址和地理位置，精确到城市。旁边一个窗口是某东欧国家的加油站，收银员正在找零。再往下翻，有个画面全黑，标注“卧室”，设备型号写着Foscam。我没敢继续看。

这些网站的存在依赖一个前提：大量监控设备出厂后从未修改过默认密码。厂商为了方便用户首次配置，把admin/admin这种组合写进说明书，但很多人装完就忘了改。Shodan（另一个搜索引擎，专搜联网设备）2016年的报告指出，全球至少有超过10万台监控摄像头暴露在公网且无密码保护。到2023年，这个数字没有明显下降，因为廉价摄像头还在源源不断地出货。

Insecam的页面设计很粗糙，没有广告，没有付费入口。它靠什么活着？有人猜测是流量变现，有人说是黑客炫技。网站底部有个“移除我的摄像头”申请入口，但流程繁琐，需要提供设备证明。多数人根本不知道自己被直播了。

法律上这事很模糊。网站服务器在俄罗斯，被拍的人在日本，运营者可能在美国。各国隐私法管不到跨境数据流。2018年有个英国案例，一名女子发现自己家的摄像头出现在Insecam上，报警后警方表示无能为力，因为无法确定嫌疑人所在地。她最后只能把摄像头砸了。

更让人不安的是，这类网站往往只是冰山一角。公开直播的摄像头大多是“低价值目标”——仓库、农场、小商铺。真正危险的入侵者不会把画面公开，他们私下打包出售访问权限。2021年，一个名为“DeepNet”的暗网论坛上，有人叫卖3000个中国境内摄像头的实时访问权，标价50美元。包含医院候诊室、学校走廊、甚至某地公安局办事大厅。

我试过在Insecam上按国家筛选。美国最多，其次是德国、日本、俄罗斯。中国摄像头很少出现在上面，不是因为设备更安全，而是因为国内公网IP大多在运营商级NAT后面，外部扫描很难直接触达。但这不意味着安全。2022年有安全团队发现，某品牌家用摄像头存在后门，攻击者可以通过局域网内任意设备触发漏洞，绕过密码直接观看。

说回Insecam。它现在还在运行，页面偶尔卡顿，画面延迟大概三到五秒。我写这段文字的时候又刷新了一次，首页推荐位换成了一个韩国餐馆的后厨，厨师正在切泡菜。镜头角度很低，大概放在调料架旁边。没人知道这个画面会被多少人看到，也没人知道那个厨师是否知情。

这类网站不会消失。只要还有设备用默认密码，只要跨境执法依然困难，它们就会像野草一样，割一茬长一茬。你唯一能做的，是现在就去检查一下自己家的摄像头——登录管理后台，改掉那个该死的admin。