Elektroniczna niania bezpieczeństwo – czy Twoja kamera jest bezpieczna?
Elektroniczna niania patrzy na Twoje dziecko. Ale kto może patrzeć przez nią?
Elektroniczna niania jest prawdopodobnie jedną z najbardziej prywatnych kamer, jakie możemy mieć w domu. Stawiamy ją przy łóżeczku. Widzi śpiące dziecko, jego pokój, czasami sporą część mieszkania. Słyszy nasze rozmowy. W niektórych modelach zapisuje zdjęcia i filmy w chmurze. Dlatego kupując ją, warto zainteresować się czymś więcej niż jakością obrazu, noktowizją i zasięgiem.
W 2026 roku koleżanka Sammy’ego Azdoufala kupiła elektroniczną nianię na Amazonie i poprosiła go o sprawdzenie jej bezpieczeństwa. Sammy kupił taki sam model, założył zwykłe konto użytkownika i zaczął sprawdzać, co urządzenie robi w sieci.
Sześć tygodni później problem nie dotyczył już jednej kamery.
Badanie doprowadziło do opisania pięciu podatności bezpieczeństwa oznaczonych numerami CVE w ekosystemie Meari/CloudEdge. Dane analizowane przez Sammy’ego wskazywały na platformę obsługującą konserwatywnie około 1,1 miliona zarejestrowanych urządzeń w ponad 118 krajach.
Ta historia jest jednak ważna także dla rodziców, którzy nigdy nie słyszeli ani o Meari, ani o CloudEdge.
Kim jest Sammy i dlaczego w ogóle zaczął grzebać w elektronicznej niani?
Sammy Azdoufal jest niezależnym badaczem bezpieczeństwa. To istotne, ponieważ historia nie zaczęła się od zlecenia producenta ani programu bug bounty.
W lutym 2026 roku jego koleżanka z pracy kupiła baby monitor na Amazonie. Wiedziała, czym zajmuje się Sammy, więc zadała pytanie, które prawdopodobnie zadałby każdy rodzic:
Sammy nie wiedział. Kupił więc taką samą kamerę, stworzył nowe konto i zaczął analizować jej komunikację.
Urządzenie okazało się częścią ekosystemu CloudEdge / Meari.
Pełny raport Sammy’ego wraz z opisem podatności, metodologią, osią czasu disclosure i mapą znajdziecie tutaj:
github.com/xn0tsa/nobody-puts-baby-in-a-corner
Jedna kamera. Setki marek.
I tutaj dochodzimy do rzeczy, która moim zdaniem jest dużo ważniejsza niż nazwy konkretnych podatności.
Meari jest producentem typu ODM.
W uproszczeniu: taka firma może stworzyć kamerę, jej oprogramowanie, aplikację, SDK i całą infrastrukturę chmurową, a następnie udostępnić gotowe rozwiązanie innym firmom. One mogą umieścić na urządzeniu własne logo i sprzedawać je jako swój produkt.
Dla rodzica kamera firmy X i kamera firmy Y mogą wyglądać jak dwa zupełnie niezależne produkty.
Z perspektywy cyberbezpieczeństwa mogą jednak korzystać z tego samego SDK, tych samych serwerów i tego samego backendu.
Sammy opisuje Meari jako firmę budującą kamerę, firmware, chmurę i aplikację, a następnie sprzedającą cały stos technologiczny innym markom. CloudEdge jest własną marką konsumencką tego ekosystemu.
W raporcie Sammy pisze wprost o „300+ partner brands” korzystających z tego samego backendu.
Co właściwie było nie tak?
Nie chcę Was tutaj katować nazwami protokołów, endpointów i bibliotek. Jeżeli chcecie zobaczyć techniczny proof of concept, macie raport Sammy’ego.
Dla rodzica ważniejsze jest zrozumienie co poszło źle i co z tego wynikało.
Cudze urządzenia mogły „gadać” do Twojego konta
System MQTT nie ograniczał poprawnie subskrypcji do urządzeń należących do konkretnego użytkownika. Sammy pokazał, że zwykłe konto mogło otrzymywać komunikaty dotyczące innych urządzeń na platformie.
Można było poznać publiczny adres IP urządzenia
Inna podatność pozwalała uzyskać WAN IP urządzenia na podstawie jego numeru seryjnego. To nie jest adres domowy, ale może umożliwić przybliżoną geolokalizację użytkownika.
Zdjęcia alarmowe nie miały właściwej ochrony
Zdjęcia wykonywane przy wykryciu ruchu trafiały do chmury. Według badania część adresów prowadzących do tych plików nie wymagała uwierzytelnienia i nie wygasała.
„Zaszyfrowane” zdjęcia z baby monitorów dało się odtworzyć
W części baby monitorów pliki .jpgx3 były chronione mechanizmem XOR. Sammy pokazał, że informacje potrzebne do odtworzenia obrazu były dostępne w tym samym ekosystemie.
Te same statyczne klucze w wielu aplikacjach
W aplikacjach opartych na Meari SDK znajdowały się wspólne, zapisane na stałe klucze. Problem jednej platformy mógł więc dotyczyć wielu marek korzystających z tego samego rozwiązania.
Problem nie kończył się na haśle rodzica
Część problemów znajdowała się po stronie platformy. Nawet bardzo dobre hasło użytkownika nie naprawia źle skonfigurowanego backendu producenta.
14 204 wiadomości. 2117 urządzeń. Pięć minut.
Jedna z podatności dotyczyła brokera MQTT używanego między innymi do przekazywania informacji o zdarzeniach z kamer.
Sammy założył zwykłe konto CloudEdge i sprawdził, jakie dane może otrzymać.
W trzyminutowym przechwyceniu ruchu z trzech brokerów Sammy znalazł również 222 adresy zdjęć alarmowych pochodzących ze 191 dzwonków i elektronicznych niań.
Mapa pokazuje, jak globalny był to ekosystem
Jednym z najbardziej obrazowych elementów raportu Sammy’ego jest mapa przygotowana na podstawie danych dotyczących urządzeń.
Sammy opisuje dwa zbiory danych, które pozwoliły mu oszacować skalę platformy: jeden zawierający 825 194 rekordy geolokalizacyjne urządzeń oraz drugi obejmujący ponad 1,16 miliona rekordów licencji P2P na backendzie amerykańskim.
Na tej podstawie mówi konserwatywnie o około 1,1 miliona zarejestrowanych urządzeń w ponad 118 krajach.
Czy moja elektroniczna niania jest na tej liście?
W swoim raporcie Sammy wymienia bezpośrednio między innymi następujące marki korzystające z ekosystemu:
To nie jest pełna lista.
Sammy pisze o ponad 300 markach partnerskich korzystających ze wspólnego ekosystemu Meari.
Francuski serwis Clubic opublikował artykuł przygotowany na podstawie rozmowy z Sammym Azdoufalem. Autor pisze w nim o 378 markach i odsyła czytelników do osobnego pliku PDF.
Lista 378 marek, do której odsyła Clubic w artykule przygotowanym na podstawie rozmowy z Sammym Azdoufalem:
→ Meari_Vulnerability_AffectedBrands.pdf
Artykuł Clubic:
Nie należy traktować tej listy jako listy „378 zhakowanych elektronicznych niań”.
Marka może sprzedawać wiele różnych urządzeń, korzystać z kilku dostawców technologii albo zmieniać platformę pomiędzy kolejnymi modelami.
Żeby powiedzieć coś o konkretnym urządzeniu, trzeba sprawdzić konkretny model, aplikację i backend, z którym się komunikuje.
Jak sprawdzić, czy moja kamera korzysta z Meari?
Sammy daje w swoim raporcie bardzo konkretną podpowiedź.
Jeżeli aplikacja obsługująca kamerę komunikuje się z domenami:
apis.meari.com.cnlub
mqtts*.meari.com.cn
to jest to bardzo mocny sygnał, że urządzenie korzysta z ekosystemu Meari.
- Sprawdź dokładną markę i model urządzenia.
- Sprawdź nazwę aplikacji, z której korzysta kamera.
- Sprawdź w Google Play lub App Store, kto jest wydawcą aplikacji.
- Poszukaj informacji o Meari, CloudEdge lub Meari SDK w dokumentacji i polityce prywatności.
- Jeżeli jesteś bardziej techniczny, sprawdź na routerze, Pi-hole, AdGuard Home, NextDNS lub Wiresharku, z jakimi domenami komunikuje się kamera.
Ale przecież mam mocne hasło!
I bardzo dobrze.
Mocne, unikalne hasło jest potrzebne. Uwierzytelnianie dwuskładnikowe, jeśli producent je oferuje, również.
FAQ: kupujesz albo już masz elektroniczną nianię?
Po tej historii najłatwiej byłoby zrobić długą listę „12 rzeczy do odhaczenia”. Wolę jednak odpowiedzieć na pytania, które naprawdę pojawiają się przy zakupie i używaniu takiej kamery.
Nie. Jeżeli potrzebujecie tylko zobaczyć dziecko z drugiego pokoju, niania z własnym monitorem i lokalnym połączeniem może mieć znacznie mniejszą powierzchnię ataku niż kamera wysyłająca obraz do chmury. Rezygnujemy wtedy z części wygodnych funkcji, ale jednocześnie ograniczamy liczbę systemów, którym powierzamy obraz z pokoju dziecka.
Kto naprawdę produkuje moją kamerę?
Sprawdź nie tylko logo na obudowie. Poszukaj producenta urządzenia, wydawcy aplikacji oraz informacji o tym, kto dostarcza usługę chmurową. Historia Meari pokazuje, dlaczego ma to znaczenie: wiele pozornie niezależnych marek może korzystać ze wspólnego SDK i backendu.
Kto tworzy aplikację i utrzymuje chmurę?
To właśnie aplikacja i chmura mogą pośredniczyć w dostępie do obrazu, powiadomień i zdjęć z kamery. Nazwa marki na pudełku nie musi być nazwą firmy, która obsługuje te elementy.
Czy kamera może działać bez chmury?
Warto sprawdzić to przed zakupem. Lokalny zapis na kartę SD lub lokalny podgląd mogą ograniczyć ilość danych wysyłanych na serwery producenta. Sam slot microSD nie oznacza jednak automatycznie, że urządzenie nie korzysta również z chmury.
Czy producent regularnie publikuje aktualizacje?
Sprawdź, kiedy urządzenie otrzymało ostatnią aktualizację firmware’u i czy producent deklaruje okres wsparcia. Kamera może działać technicznie przez wiele lat, ale to nie znaczy, że przez cały ten czas ktoś będzie naprawiał znalezione w niej podatności.
Czy producent ma kanał zgłaszania podatności?
Dla mnie to jeden z sygnałów dojrzałości firmy. Szukaj strony bezpieczeństwa, polityki Vulnerability Disclosure, pliku security.txt albo przynajmniej wyraźnie wskazanego kontaktu dla badaczy bezpieczeństwa.
Czy dostępne jest 2FA?
Jeżeli obraz z pokoju dziecka można oglądać przez internet, uwierzytelnianie dwuskładnikowe jest funkcją, której zdecydowanie warto szukać. Jeśli producent je oferuje — włącz je.
Czy wystarczy dobre hasło?
Nie. Unikalne, mocne hasło chroni przede wszystkim Twoje konto przed przejęciem. Nie naprawi podatności znajdującej się w chmurze producenta. To jedna z najważniejszych lekcji z badania Sammy’ego.
Kto ma teraz dostęp do mojej kamery?
Sprawdź użytkowników, udostępnienia, aktywne sesje oraz zalogowane urządzenia. Usuń stare telefony i osoby, które nie potrzebują już dostępu. Jeżeli system na to pozwala, używaj osobnych kont zamiast przekazywania wszystkim jednego hasła.
Czy można komuś odebrać dostęp?
Powinno się dać. Dostęp dla dziadków, opiekunki czy drugiego telefonu nie powinien być decyzją „na zawsze”. Jeżeli aplikacja nie pozwala łatwo przejrzeć i cofnąć udostępnień, jest to dla mnie istotny minus.
Jak długo przechowywane są zdjęcia i filmy?
Sprawdź ustawienia oraz politykę usługi. Jeżeli nie potrzebujesz miesięcznej historii nagrań, nie przechowuj jej tylko dlatego, że producent daje taką możliwość. Im mniej materiału istnieje, tym mniej materiału może kiedyś wyciec.
Czy mogę wyłączyć nagrywanie do chmury?
Jeżeli nie korzystasz z tej funkcji, warto ją wyłączyć. Zwróć też uwagę, czy wyłączenie chmury rzeczywiście oznacza brak wysyłania nagrań i zdjęć, a nie jedynie brak dostępu do historii w aplikacji.
Czy warto wydzielić kamerę do osobnej sieci?
Tak, jeżeli router na to pozwala. Osobna sieć IoT albo VLAN może ograniczyć możliwość komunikacji kamery z komputerami, NAS-em i innymi ważniejszymi urządzeniami w domu. Nie zabezpieczy jednak źle skonfigurowanej chmury producenta.
Co powinienem zrobić od razu po zakupie?
Zmień domyślne hasło, ustaw unikalne hasło, włącz 2FA, zaktualizuj firmware i aplikację oraz sprawdź domyślne ustawienia chmury, nagrywania i udostępniania. Nie zakładaj, że ustawienia fabryczne są ustawieniami najbardziej prywatnymi.
Co robić z kamerą, kiedy jej nie używam?
Wyłącz ją. A jeżeli zależy Ci na naprawdę jednoznacznym stanie prywatności — odłącz zasilanie. Fizycznie wyłączona kamera nie nagrywa, niezależnie od tego, czy poprawnie działa jej „Privacy Mode”.
Kamera bez zasilania nie może wysłać obrazu z pokoju Waszego dziecka.
To nie jest problem z „jakiejś kamerki z AliExpress”
Warto też zobaczyć, jak blisko polskiego rynku jest ten temat. W przekazanym rejestrze OEM Arenti występuje wprost jako pozycja #40 z identyfikatorem OEM 100001310 oraz ponownie jako „Arenti v2” pod numerem #69 z identyfikatorem 100001153. Tymczasem we wrześniu 2026 r. Media Expert sprzedaje bezpośrednio kilka elektronicznych niań Arenti z serii Ainanny — między innymi Ainanny 2K, Ainanny A4 Kit Plus oraz Ainanny B2. W tym samym rejestrze znajduje się również Béaba jako pozycja #68, OEM 100001150; niania wideo Béaba Full HD Wi‑Fi jest obecnie wystawiona także w serwisie Media Expert, choć w tym przypadku oferta pochodzi od zewnętrznego sprzedawcy marketplace. To bardzo dobrze pokazuje, że mówimy o markach i urządzeniach dostępnych dla zwykłego polskiego rodzica, a nie o egzotycznym sprzęcie z nieznanego sklepu. Jednocześnie obecność marki w rejestrze nie pozwala automatycznie stwierdzić, że konkretny sprzedawany dziś model korzysta z tej samej wersji platformy albo nadal jest podatny na błędy opisane przez Sammy’ego. Do takiego wniosku potrzebna byłaby weryfikacja konkretnego modelu, aplikacji, firmware’u i backendu.
Udostępniasz kamerę dziadkom? To też część bezpieczeństwa
1. Nie przekazujemy dostępu dalej
Jeżeli ktoś ma dostać dostęp, decyzję podejmują rodzice.
2. Nie robimy screenshotów bez potrzeby
Prywatny obraz z kamery może szybko trafić do galerii telefonu i kolejnej chmury.
3. Utrata telefonu = informacja dla rodziców
Jeżeli urządzenie z dostępem do kamery zginie, trzeba móc szybko wylogować sesję albo odebrać mu dostęp.
4. Osobne konto zamiast wspólnego hasła
Jeżeli system na to pozwala, każdy powinien mieć własne konto i własny dostęp.
Czy mogę sprawdzić, czy ktoś oglądał moje dziecko?
Nie zawsze.
Jeżeli producent prowadzi historię logowań, sesji i dostępów, możemy znaleźć ślady nietypowej aktywności. W wielu urządzeniach konsumenckich takich informacji użytkownik jednak po prostu nie dostaje.
- historię logowania do konta, jeżeli jest dostępna,
- listę aktywnych sesji,
- listę telefonów i urządzeń przypisanych do konta,
- listę osób, którym udostępniliśmy kamerę,
- maile i powiadomienia dotyczące nowych logowań,
- nieznane zmiany ustawień,
- nietypowe zachowanie funkcji PTZ, mikrofonu lub głośnika.
Nietypowe zachowanie kamery jest ważną wskazówką i zdecydowanie nie warto go ignorować. Samoczynny ruch, nieoczekiwane włączenie diody, mikrofonu czy głośnika może mieć niewinne wyjaśnienie — na przykład automatyczne śledzenie ruchu, aktualizację, błąd aplikacji albo awarię — ale w kamerze stojącej w pokoju dziecka warto to sprawdzić.
Przejrzyj aktywne sesje i osoby mające dostęp, wyloguj nieznane urządzenia, zmień hasło, włącz 2FA i zaktualizuj kamerę oraz aplikację. Jeżeli nie potrafisz wyjaśnić tego zachowania, odłącz kamerę od zasilania do czasu wyjaśnienia sytuacji.
Samo nietypowe zachowanie nie jest jeszcze dowodem włamania. Ale jest wystarczająco ważnym sygnałem, żeby zareagować.
Nie chodzi o to, żeby wyrzucić wszystkie elektroniczne nianie
Nie chodzi o to, żeby nie używać technologii. Chodzi o to, żeby wiedzieć po co jej używamy, jakie dane jej powierzamy i czy korzyść jest warta kosztu.
- Jeżeli nie potrzebuję internetu — wybieram rozwiązanie lokalne.
- Jeżeli potrzebuję internetu — sprawdzam producenta i cały ekosystem.
- Minimalizuję liczbę osób mających dostęp.
- Minimalizuję ilość danych przechowywanych w chmurze.
- Zabezpieczam konto i regularnie aktualizuję urządzenie.
- Kiedy kamera nie jest potrzebna — wyłączam ją.
Zanim kupisz kamerę, zadaj jeszcze jedno pytanie
Kupując elektroniczną nianię, zwykle pytamy o jakość obrazu, noktowizję, zasięg, wykrywanie płaczu, temperaturę w pokoju i czas pracy baterii.
Historia Sammy’ego Azdoufala pokazuje, że powinniśmy dopisać do tej listy jeszcze jedno:
Komu poza mną powierzam możliwość zobaczenia tego, co dzieje się w pokoju mojego dziecka?
Bo w przypadku kamery internetowej odpowiedź bardzo rzadko brzmi: „tylko sobie”.
Źródła i materiały
1. Sammy Azdoufal — „Nobody Puts Baby In A Corner”
https://github.com/xn0tsa/nobody-puts-baby-in-a-corner
2. Mapa przygotowana przez Sammy’ego Azdoufala
https://github.com/xn0tsa/nobody-puts-baby-in-a-corner/blob/master/map.png
3. Clubic — materiał dotyczący badania Sammy’ego
Artykuł Clubic
4. Lista 378 marek, do której odsyła Clubic w artykule przygotowanym na podstawie rozmowy z Sammym Azdoufalem
Meari_Vulnerability_AffectedBrands.pdf
5. Media Expert — nianie elektroniczne Arenti
Aktualna oferta niań Arenti w Media Expert
6. Media Expert — Béaba niania video Full HD Wi‑Fi
Oferta Béaba w Media Expert
7. Meari Security Center
https://www.meari.com/en/securityCenter/
