打开某个摄像头直播网站，摄像首页密密麻麻排列着从全球各地抓取的头线实时画面。日本某条商店街的直播监控、美国加州一个私人泳池的网站俯拍、甚至北欧某户人家的摄像客厅一角——这些画面本不该被陌生人看到，现在却成了公开的头线“节目”。

这类网站的直播运作逻辑并不复杂。它们通过扫描互联网上未加密或弱密码的网站IP摄像头，把视频流抓取过来，摄像再嵌入自己的头线页面。一台摄像头被“收录”后，直播观众不需要任何授权就能观看。网站有些网站还提供分类标签：按国家、摄像按场景、头线按设备类型。直播你点一下“卧室”，就能看到几十个来自世界各地的私人空间。

我花了一个下午浏览其中一个站点。页面设计粗糙，广告弹窗不断，但画面数量惊人。一个标着“中国·客厅”的窗口里，能看到沙发上堆着衣服，茶几上有半杯水。画面静止了十几分钟，突然有人走过，是个穿睡衣的中年男人。他完全不知道自己在被观看。另一个窗口来自某间办公室，摄像头对着走廊，下班后灯灭了，只剩安全出口的绿光。

这些摄像头为什么会被公开？原因很直接。出厂默认密码没改，或者用了“123456”“admin”这类弱口令。有些设备甚至根本没有密码保护，连上网络就能访问。2016年Mirai僵尸网络搞瘫半个美国互联网，靠的就是这些不设防的摄像头。五年过去，同样的问题还在。

网站运营者通常躲在境外，靠广告和流量赚钱。他们不会提醒设备主人，也不会主动删除链接。有媒体曝光后，部分画面会被撤下，但很快又有新的补上来。就像打地鼠，锤子落下，别处又冒头。

法律上这事很模糊。抓取公开网络上的视频流，算不算入侵？不同国家认定不同。设备主人在中国，服务器在美国，观众在巴西——管辖权都扯不清。更现实的问题是，多数受害者根本不知道自己被拍了。客厅里的摄像头本来是用来看孩子的，结果成了全球直播的一部分。

我注意到一个细节：很多画面里，摄像头旁边就是路由器，指示灯一闪一闪。主人可能刚装好设备，觉得“能看就行”，没想过改密码。厂商呢？说明书里密码设置那页往往被跳过。有些廉价摄像头甚至不允许用户修改默认凭证。

有个德国网站做过实验，随机扫描一批IP，发现超过三成摄像头可以直接访问。这还只是能扫到的。那些藏在NAT后面、通过P2P穿透的，数量更难统计。

观众的心态也值得琢磨。有人纯粹好奇，有人带着窥私欲。论坛里有人分享“最佳观看时段”，比如早上七点能看到上班族匆忙出门，晚上十点能看到家庭活动。这种围观是单向的、不对等的。被看的人毫无察觉，看的人却觉得自己在“探索世界”。

关掉网页后，我把家里那台旧摄像头拔了电源。它一直对着阳台，我从来没改过密码。