Il marchio sulla scatola non dice chi ha fatto la telecamera. Molti apparecchi economici comprati online sono fabbricati da pochi produttori e rivenduti con nomi diversi: cambiano logo e confezione, ma l’app e i server sono gli stessi. Quando quei server hanno un problema, lo hanno tutti i marchi insieme.
Cosa è successo con le telecamere Meari?
Un ricercatore indipendente, Sammy Azdoufal, ha scoperto che i server di Meari lasciavano vedere a chiunque avesse un account cose che appartenevano ad altri. Le falle sono state registrate l’11 maggio 2026 nel database pubblico delle vulnerabilità degli Stati Uniti (NVD), con cinque codici CVE, cioè i numeri con cui si catalogano le falle note. In parole semplici:
- con un account gratuito si potevano ricevere i messaggi di tutti gli apparecchi, non solo dei propri;
- le foto scattate quando la telecamera rileva un movimento erano salvate online in modo che chi aveva il link poteva aprirle senza password, e i link non scadevano;
- le immagini dei baby monitor erano «protette» con un trucco facile da annullare;
- dentro le app c’erano chiavi segrete uguali in tutte le app di tutti i marchi, cioè lo stesso «passe-partout» per ogni apparecchio;
- si poteva risalire all’indirizzo Internet di apparecchi che non erano i propri.
In Meari IoT Cloud un account con pochi privilegi può ricevere i dati di apparecchi che non possiede. Le altre quattro falle (CVE-2026-33357, -33359, -33361, -33362) sono state pubblicate lo stesso giorno.
Il ricercatore ha avvisato Meari a inizio marzo e, prima della pubblicazione, ha segnalato il caso anche all’agenzia americana per la cibersicurezza (CISA), come riporta nella sua divulgazione.
CVE.org, scheda della CVE-2026-33359 (in inglese)Quanti apparecchi sono coinvolti?
Secondo la stima del ricercatore, circa 1,1 milioni di apparecchi registrati in oltre 118 paesi, venduti con più di 300 marchi. Consumer Reports, l’associazione americana dei consumatori, cita fra i marchi Arenti, Anran, Boifun e ieGeek. Sono marchi venduti nei negozi online. Nel suo elenco il ricercatore mette anche Vimar, marchio italiano diffuso anche in Ticino. Non abbiamo trovato una conferma o una smentita di Vimar: se hai una sua telecamera, controlla l’app con i passi qui sotto e chiedi all’installatore o al produttore.
Sammy Azdoufal, divulgazione delle falle Meari (in inglese)Il numero dei marchi conta più di quello degli apparecchi: vuol dire che non puoi fidarti del nome sulla scatola per sapere se la tua telecamera è coinvolta. Devi guardare l’app.
Come capisco se la mia telecamera è su piattaforma Meari?
Guarda come si chiama l’app con cui la vedi dal telefono: se è CloudEdge, la telecamera usa i server Meari. Le descrizioni ufficiali delle falle nominano proprio l’app CloudEdge e l’app Arenti, e parlano di altre app con nomi diversi costruite sullo stesso software.
Se la tua app ha un altro nome:
- apri la scheda dell’app nello store del telefono (App Store o Play Store) e guarda il nome dello sviluppatore: se è Meari (Hangzhou Meari Technology), sei nel caso. Se non lo è, non vuol dire che sei fuori: l’app Arenti, citata nelle falle, è pubblicata a nome Arenti. Passa al punto 2;
- se non lo trovi, cerca sul sito del negozio dove l’hai comprata il nome del modello con la parola «CloudEdge»;
- se non ti è chiaro, chiedi a un familiare o a chi te l’ha installata di guardare insieme a te: ci vogliono due minuti.
Basta aggiornare?
Aggiornare serve, ma da solo non basta: una parte del problema sta sui server di Meari, e lì puoi fare solo quello che fa il produttore. Meari ha detto alla testata The Verge di aver risolto il problema più grave, ma che gli apparecchi restano a rischio finché non hanno il firmware 3.0.0 o successivo (il firmware è il programma che fa funzionare l’apparecchio). Non c’è stato nessun richiamo.
Consumer Reports, falla nei baby monitor Meari (in inglese)Anche il ricercatore, parlando con The Verge, conferma che il buco principale è stato chiuso il 10 marzo. Nella sua relazione ricorda però che le correzioni lato server spettano solo a Meari, che un aggiornamento della telecamera non le sostituisce e che le chiavi uguali per tutti non si possono cambiare senza riprogrammare ogni apparecchio. Per questo, oltre ad aggiornare, conviene ridurre quello che la telecamera vede e il tempo in cui è accesa.
The Verge, la falla nelle telecamere Meari (in inglese)La Polizia Postale, già nel 2022, consigliava di evitare le telecamere online a basso costo e di non inquadrare bagni e camere da letto.
Orientare le telecamere in modo da non inquadrare bagni, camere da letto e altri ambienti «sensibili» per l’intimità delle persone.
Cosa faccio adesso?
- Aggiorna l’app CloudEdge (o quella che usi) dallo store del telefono.
- Controlla la versione del firmware nelle impostazioni dell’apparecchio dentro l’app, di solito alla voce «Informazioni» o «Impostazioni». Se l’app propone un aggiornamento, installalo. Secondo Meari serve la 3.0.0 o successiva.
- Se l’apparecchio non si aggiorna o resta sotto la 3.0.0, staccalo dalla presa. Se ti serve davvero, sostituiscilo con un modello di un produttore che pubblica avvisi di sicurezza. Anche aggiornato, staccalo quando non serve e non tenerlo puntato sul letto senza bisogno.
- Cambia la password dell’app con una lunga e mai usata altrove. Non ripara i server di Meari, ma se la stessa password la usi anche per la posta o altri servizi, cambiala anche lì. Puoi controllare se un tuo indirizzo è già comparso in una violazione su passwordrubata.com.
- Non puntare la telecamera sul letto o sulla culla se non è necessario, e mai su bagni e camere da letto degli adulti.
- Staccala quando non serve, per esempio quando sei in casa: una telecamera spenta non manda niente a nessuno.
- Al prossimo acquisto preferisci un baby monitor che funziona senza Internet, con il suo schermo: per sentire il bambino nella stanza accanto non serve il cloud.
L’Ufficio federale della cibersicurezza (UFCS) dà gli stessi consigli generali per tutti gli oggetti collegati: password tua al primo avvio, aggiornamenti subito, e webcam non raggiungibili da Internet se non serve. Non risolve le falle sui server del produttore, ma riduce il resto.
UFCS, Ciberdritta: le precauzioni con l'Internet delle coseSe pensi che qualcuno abbia visto le tue immagini
In Svizzera puoi segnalarlo all’UFCS con il modulo online su report.ncsc.admin.ch: si compila dal telefono in pochi minuti e non serve sapere i termini tecnici. Se le immagini vengono usate per minacciarti o circolano in rete, vai dalla polizia cantonale. In Italia la segnalazione si fa alla Polizia Postale, anche online.
Domande frequenti
Il mio baby monitor non è di marca Meari: posso stare tranquillo?
Non per forza. Meari fabbrica apparecchi venduti con più di 300 marchi diversi, e il suo nome spesso non compare sulla scatola. Il segnale più semplice è l'app: se il baby monitor si guarda con CloudEdge, o se nello store lo sviluppatore dell'app è Meari, il tuo apparecchio usa i suoi server. Se non compare, il controllo non basta.
Qualcuno ha davvero guardato la mia telecamera?
Non si può sapere per il singolo apparecchio. Il ricercatore ha dimostrato che era possibile ricevere avvisi e foto di movimento di altri, non che qualcuno abbia spiato una casa precisa. Le foto sono quelle scattate quando la telecamera rileva un movimento, non per forza la diretta video.
Posso cancellare le vecchie foto salvate online?
Secondo il ricercatore, per i baby monitor e i campanelli le foto vecchie non si possono cancellare dall'app: quanto tempo restano lo decide il produttore. Puoi però smettere di produrne di nuove, spegnendo nell'app gli avvisi di movimento con foto, se l'app lo permette, o staccando l'apparecchio quando non serve.
Un baby monitor nuovo comprato in negozio è più sicuro?
Dal 1° agosto 2025 i baby monitor e gli apparecchi radio collegati a Internet messi in vendita per la prima volta nell'UE devono rispettare requisiti minimi di sicurezza informatica; la Svizzera applica le stesse regole. Riguardano l'apparecchio, non i server del produttore, dove stavano le falle di Meari. Il più semplice resta un monitor che funziona senza Internet.
Questo articolo fa parte della serie Microfoni e telecamere in casa, con la checklist stanza per stanza. Controllare il nome dell’app richiede un minuto. Fallo oggi, con il telefono in mano, prima di riaccendere il baby monitor stasera.
