01 · 事件档案总表
下表汇总本课题引用的消费IoT/智能家居标志性事件，均可经原始披露方、监管机构或主流媒体公开渠道查证。"类型"栏中"设备"指设备本体漏洞，"平台"指云/账号侧事件，"研究"指学术安全分析，"治理"指法规与监管动作。
| 时间 | 事件/编号 | 类型 | 关键事实 | 核心教训 |
|---|---|---|---|---|
| 2012—2014 | TRENDnet摄像头裸流 | 设备/平台 | 无需认证观看实时画面；FTC 2014年和解（首例IoT执法） | 本地接口认证是产品底线 |
| 2013 | LG智能电视数据回传 | 隐私 | 回传观看频道与外接设备文件名 | 遥测默认最小化 |
| 2014 | Misfortune Cookie（CVE-2014-9222/9223） | 设备 | RomPager栈溢出，估计约1200万台路由器可被接管 | 嵌入式组件漏洞按全球存量计 |
| 2014 | Proofpoint冰箱垃圾邮件 | 设备 | 10万+设备僵尸网络含智能电视/冰箱 | 家电是常驻计算节点 |
| 2015 | VTech儿童数据泄露 | 平台 | 约500万家长+600余万儿童档案；2018年FTC以65万美元和解（COPPA） | 儿童数据最高保护等级 |
| 2015 | IOActive《ZigBee Exploited》 | 研究 | 默认链接密钥可解密入网流量、Touchlink接管设备 | 入网密钥唯一化（Install Code） |
| 2016 | Mirai僵尸网络 | 设备/治理 | 62组默认口令感染海量设备；Krebs约620Gbps、OVH约1.1Tbps、Dyn瘫痪；作者获刑 | 默认口令治理+源端压制 |
| 2016 | SmartThings权限研究（IEEE S&P） | 研究 | 事件订阅越权、过半第三方应用过度授权 | 最小授权+运行时监控 |
| 2017.02 | CloudPets泄露 | 平台 | 约200万条语音留言暴露、数据库遭勒索 | 儿童数据云存储=高危资产 |
| 2017 | BlueBorne / KRACK / Weeping Angel | 设备/研究 | 蓝牙8个0day（估计50亿+设备）；WPA2 nonce重用；CIA智能电视假关机监听 | 实现复杂度=攻击面；状态指示须硬件可信 |
| 2017 | 德国BNetzA禁令（Cayla/儿童手表） | 治理 | 认定蓝牙玩具娃娃为隐蔽监听设备并禁售；问题儿童手表下架 | "静默监听"类功能有法律定性风险 |
| 2017—2018 | 摄像头档案集（CVE-2017-7921海康 / CVE-2017-8225 GoAhead / Sony IPELA后门） | 设备 | 认证绕过、硬编码账户、工程师后门，波及海量白牌与品牌机 | 固件审计+CVE即时修复 |
| 2017.12 | 360水滴直播关停 | 治理/隐私 | 默认公开直播引发隐私争议后永久关闭 | 默认共享=最大隐私设计错误 |
| 2018 | VPNFilter | 设备 | 54国约50万台路由器/NAS；流量嗅探、横向传播、自毁；FBI查封C2 | 网关按信任根管理 |
| 2018 | 小黑盒智能门锁事件 | 设备/治理 | 特斯拉线圈秒开部分门锁，行业整改电磁防护 | 电磁防护+机械C级兜底 |
| 2018 | OWASP IoT Top 10 | 治理 | 行业风险基线清单发布 | 采购与开发的对照表 |
| 2019 | Ring凭据填充 / Wyze数据库暴露 | 平台 | 他站泄露口令复用登录；240万用户数据自12月4日起暴露约22天 | 摄像头账号强制2FA；云端配置审计 |
| 2019 | KNOB（CVE-2019-9506） | 设备/研究 | 蓝牙密钥协商降级至1字节熵 | 协议参数下限必须强制 |
| 2019.07 | FTC诉D-Link和解 | 治理 | 就路由器/摄像头安全性虚假宣传达成和解：实施全面软件安全计划、为期10年的双年度独立第三方评估，并可经IEC安全开发生命周期标准认证获得“安全港” | 安全开发流程可被标准认证背书，为PSTI/CRA时代判例基础 |
| 2019—2020 | 音箱录音门（Amazon/Apple/Google） | 隐私 | 人工审核机制曝光，苹果与谷歌暂停/整改评分项目 | 录音处理透明+用户可控 |
| 2020 | ETSI EN 303 645发布 | 治理 | 13条消费IoT安全基线 | 全球标签制度的共同底座 |
| 2020 | Kr00K（CVE-2019-15126）/ SweynTooth | 设备 | Wi-Fi芯片全零密钥（ESET估计数十亿设备）；BLE SoC SDK 12个CVE | 芯片级缺陷传导整机 |
| 2020 | 小米米家Nest Hub串台 | 平台 | 跨生态画面归属隔离失效，暂停集成并修复 | 跨云接入严格会话隔离 |
| 2020—2024 | 标签制度密集落地（新加坡CLS/美国CTM/英国PSTI/欧盟CRA） | 治理 | 从自愿标签走向法定强制（PSTI已罚则落地） | 采购侧"看标签"时代 |
| 2021 | Kalay（CVE-2021-28372）/ Verkada / Realtek SDK / NetUSB（CVE-2021-45608） | 设备/平台 | P2P SDK在野利用；15万摄像头被超级凭据拖库；约65家厂商200余型号受SDK缺陷波及 | SDK准入评估+云端最小权限 |
| 2022 | GB/T 41387/41388发布；Matter 1.0；Eufy隐私争议 | 治理/设备/隐私 | 国内智能家居安全国标落地；互联协议进入认证信任链时代 | 协议安全≠部署安全 |
| 2023 | FTC处罚Ring（580万美元，员工/承包商越权访问）/Alexa（2500万美元，违反COPPA） | 治理 | 员工越权访问与COPPA违规成为执法高频点 | 内部权限审计与儿童合规 |
| 2024—2026 | Matter 1.4—1.6快速迭代；生成式AI语音助手落地（Alexa+，2025.2） | 治理/趋势 | Matter 1.5（2025.11）首次支持摄像头视频流，1.6（2026.6）对齐欧盟CRA报告时限；AI语音克隆“家庭应急”诈骗获FTC（2023预警）/FBI（2024.12 PSA）连续警示 | 视频流权限治理与AI语音验证成为新焦点 |
02 · 代表性漏洞编号速查
| CVE编号 | 名称 | 影响与要点 | 处置依据 |
|---|---|---|---|
| CVE-2014-9222/9223 | Misfortune Cookie | RomPager Cookie解析栈溢出；估计约1200万台路由器 | 固件更新/更换EOL设备 |
| CVE-2017-0781等 | BlueBorne | 蓝牙多平台0day集（含Android RCE） | 补丁；不用即关蓝牙 |
| CVE-2017-13077等10个 | KRACK | WPA2四次握手nonce重用 | 全端补丁；迁移WPA3 |
| CVE-2017-7921 | 海康认证绕过 | 构造请求绕过认证获取配置与快照 | 官方固件；限制暴露 |
| CVE-2017-8225 | GoAhead摄像头固件集 | 硬编码账户+缓冲区溢出；白牌大规模波及 | 换机/隔离；固件审计 |
| CVE-2019-9506 | KNOB | 经典蓝牙密钥熵协商降级至1字节 | 固件强制密钥下限 |
| CVE-2019-15126 | Kr00K | 断连后使用全零密钥加密（博通/赛普拉斯芯片） | 芯片固件更新 |
| CVE-2020-0022等12个 | SweynTooth | 多家BLE SoC SDK链路层缺陷 | 跟踪芯片SDK公告 |
| CVE-2021-28372 | Kalay P2P SDK | 摄像头P2P服务远程代码执行，在野利用 | SDK升级/关闭P2P |
| CVE-2021-35392~35395 | Realtek Jungle SDK | 约65家厂商200余款型号受波及的SDK缺陷集 | 厂商补丁；SBOM比对 |
| CVE-2021-45608 | NetUSB | KCodes NetUSB组件RCE，波及大量路由器 | 固件更新；关闭USB共享 |
03 · 共性模式分析
3.1 档案成因归类（示意）
3.2 四大模式与防护映射
| 模式 | 档案佐证 | 防护映射（本课题页码） |
|---|---|---|
| ① 弱口令与默认配置 | Mirai；路由器WAN管理；Ring凭据填充 | ETSI 5.1唯一口令+账号2FA（第2、6页） |
| ② 第三方SDK/组件传导 | Misfortune Cookie、GoAhead、Kalay、Realtek、NetUSB、SweynTooth | SBOM+SDK准入评估+芯片公告跟踪（第2、4页） |
| ③ 云端平台与API权限 | Verkada、Wyze、米家串台、CloudPets | 云端最小权限+配置审计+删除权（第5、6页） |
| ④ 协议实现与降级 | KRACK、KNOB、Kr00K、BIAS、Zigbee默认密钥 | 协议基线配置+固件更新（第3、4页） |
档案结论：消费IoT失守极少依赖"高深攻击"——前两类模式（弱配置与组件传导）合计覆盖了档案的半数以上，且都对应成本极低的防御动作（改密、更新、看标签、审SDK）。这就是第8页把"默认安全"列为治理第一优先级的依据。
04 · 档案驱动的检测建议
| 检测规则类型 | 数据来源 | 家庭/厂商落地方式 |
|---|---|---|
| 默认口令爆破痕迹 | 设备登录日志、蜜罐捕获字典 | 开启登录失败锁定与推送；厂商侧速率限制（第6页门锁章节） |
| 已知C2/遥测域名外联 | 公开威胁情报、DNS日志 | 网关DNS过滤+周期性外联告警（第3页监测四件套） |
| 设备指纹盘点 | mDNS/SSDP/UPnP广播、MAC OUI | 新设备接入告警与台账比对，发现影子设备 |
| 流量基线偏离 | 出口NetFlow/路由器流量统计 | 夜间持续上行、突增大流量即告警（上传画面/DDoS特征） |
| 固件版本-CVE比对 | SBOM、固件版本号、NVD/CNVD | 入网检测与月度核查（第2页）；EOL设备标记 |
| 云权限异常 | 厂商云审计日志 | 非工作时间批量调阅画面、异常IP登录告警（Verkada教训） |
使用说明：本档案库用于基线评估、检测规则编写与安全培训。引用事件时请回溯原始出处（第6页及本页参考来源）；涉及执法与司法数据以官方通报为准。
本节参考来源（第7页）
档案事件的原始披露出处见第6页参考来源及各分页引用；本节补充漏洞库与执法信息源。
NVD美国国家漏洞库：nvd.nist.gov；CNVD国家信息安全漏洞共享平台：cnvd.org.cn；CVE官方：cve.org。
CISA Known Exploited Vulnerabilities Catalog（KEV，2021年11月上线）：cisa.gov/known-exploited-vulnerabilities-catalog。
美国司法部Mirai案起诉与量刑文件（2017—2018）：justice.gov（检索Mirai）。
FTC消费者保护执法档案（TRENDnet/Vizio/Ring/Alexa/D-Link）：ftc.gov（执法档案检索）。
ESET《Kr00K》（2020）：welivesecurity.com（Kr00K分析）；SweynTooth披露页：asset-group.github.io/disclosures/sweyntooth。
IoT Inspector《Realtek Jungle SDK》系列披露（2021年12月）：iot-inspector.com/blog；SentinelOne《NetUSB》（CVE-2021-45608，2021年10月）：sentinelone.com/labs。
Check Point《Misfortune Cookie》（2014）与Team Cymru SOHO研究（2014）原文存档；Mathy Vanhoef《KRACK》（krackattacks.com，2017）、《FragAttacks》（fragattacks.com，2021）。
《网络产品安全漏洞管理规定》施行通报与配套平台：miit.gov.cn；公共互联网反网络钓鱼工作组处置经验（本学院实践来源）。