主营安防产品的海康威视（002415）疑遭“黑天鹅”。2月27日晚间，网络上流传的一份文件称，江苏省公安厅下发通知，该厅使用的视频监控设备被境外分子“盯上”。

        澎湃新闻（www.thepaper.cn）当天获得这份文件，文件全称为《关于立即对全省海康威视监控设备进行全面清查和安全加固的通知》，抬头为“江苏省公安厅”，发布时间是“2月17日”，标注“特急·明电”。

        通知称，近期，省厅接到省互联网应急中心通报，省各级公关机关使用的海康威视监控设备存在严重安全隐患，部分设备已经被境外IP地址控制。

        通知要求各地对使用的海康威视设备进行全面清查，并开展安全加固，消除安全漏洞。

        澎湃新闻获悉，海康威视方面不日将召开电话会议，解释前述通知所涉事宜。

        海康威视是中国安防行业市值最大的上市公司。创始团队2001年从中国电科52所（中国电子科技集团公司第五十二研究所）出来，成立了这家视频监控领域的公司。2014年，海康威视营业总收入172.33亿元，比2013年增长60.37%；净利润46.73亿元，增长52%。

        海康威视产品多面向公安、交通、司法、金融领域，头顶光环众多。

        综合官网资料，海康威视连续六年(2007-2012)以中国安防第一位的身份入选《A&S》“全球安防50强”；2011-2013年连续3年名列iHS全球视频监控企业第1位；其为全国1000多个城市建设“平安城市”项目，其中涉及多个省厅级系统。2014年12月，海康威视三度蝉联“全国公安系统警用装备十佳品牌”。

        海康威视还为2008年奥运会、2010年世博会、2013年亚信峰会等世界级大型活动提供安保服务。

        正因头顶的光环亮眼，海康威视突遭“黑天鹅”，外界大跌眼镜。安信证券甚至称，这是“棱镜门”事件后爆发的一起“最严重信息安全事故”。“海康威视的监控产品本身作为维护国家公共安全的重要工具，遍布国家重要机构和群众生活的各个领域，以其为入口的信息包含了从国家安全机密到普通百姓日常生活隐私的各个方面。此次大量设备被发现存在安全隐患甚至被国外IP地址控制，造成的信息泄露损失和未来潜在的威胁难以估量。”

        但你可能难以想象，这样一起信息安全事件，原来是摄像头没有修改初始密码。

        2月27日，海康威视连夜发表声明称，江苏省互联网应急中心通过网络流量监控，发现部分在互联网上的海康威视设备因弱口令问题（弱口令包括使用产品初始密码或其他简单密码，如123456、888888、admin等），被黑客攻击。

        江苏省公安厅在前述通知中也提到，在接下来的整改过程中，要对监控设备重点开展8位以上强口令设置、系统漏洞修补、无关数据和程序清理等安全管理工作。

        “按理，设备买回来使用，默认的弱口令是要修改的。”知道创宇公司副总裁余弦告诉澎湃新闻（www.thepaper.cn）。知道创宇长期研究网络摄像机、路由器等嵌入式设备安全问题。

        在国内漏洞报告平台乌云网上，记者看到，从2013年开始，不断有“白帽子”报告海康威视的监控设备存在多处弱口令。

        对于这些报告，海康威视基本予以确认，并通知客户修改口令。

        2月27日，海康威视称，针对弱口令风险，其曾于2014年3月通过公司官网公告等方式，提醒用户修改设备初始密码。“现在再次提醒用户，务必修改设备初始密码；对于已经或可能遭受攻击的设备，可以联系公司获取设备固件程序进行修复。”

        记者同时发现，乌云网上此前还有多个报告指出，海康威视存在其他多种安全漏洞。2014年11月，知道创宇发现海康威视存在远程代码执行漏洞。

        余弦解释，“任何设备都可能出漏洞，关键是看他们对待漏洞的态度。海康威视在国际上有名，国外也有人报告过好几个严重漏洞。海康威视的态度还是不错的，漏洞修复速度也很快。”

        虽然海康威视对漏洞的修补速度很快，但要想及时通知用户修补、令所有设备同时完成修复，几乎是不可能完成的任务。

        “补丁在用户那头很难获取到，或者用户根本不知道有这个补丁出来。做不到这点，厂家还是不够负责任。”余弦声称。

        客观来说，安防设备也很难做到像WIndows系统那样，一有漏洞就提醒用户修补。“全球几十万摄像头，如果都要高效地更新补丁，那么肯定需要有一个集中的云连着几十万摄像头。但技术架构不允许这样，因为用户会担心厂家偷看摄像头。”余弦也说。

        澎湃新闻（www.thepaper.cn）了解到，2014年12月26日，中国石化销售有限公司发出通知，暂停采购海康威视的视频监控设备和产品。

        至于原因，通知上只标明“为进一步规范视频监控设备的采购工作”。中石化内部员工也不清楚具体原因，但表示总部层面确实决定暂停采购。