Взлом Flock показал, как камеры отслеживают автомобили и людей

Что произошло

Хакеры сняли установленную над дорогой камеру Flock Safety, сделали почти полную копию хранившихся на ней данных и передали файлы 404 Media и WIRED. Журналисты изучили материалы в рамках совместного расследования.

Несмотря на то что наиболее чувствительная часть хранилища осталась зашифрованной и недоступной, исследование показало возможности программного обеспечения камеры. Оно явно обнаруживает людей, автомобили, номерные знаки и велосипеды.

Что обнаружили в камере

Хакеры получили доступ к системе Android на устройстве и нашли несколько разделов накопителя. Некоторые из них, включая разделы «vendor» и «media», были незашифрованными. В разделе «media» находился ключ, открывший доступ к другой части хранилища с видео и фотографиями.

Камера могла создавать десятки снимков одного проезжающего автомобиля. Согласно журналам за несколько недель, устройство сформировало более миллиона изображений. Система компьютерного зрения также иногда выделяла наклейки на бамперах и другие изображения, включая нашивку с американским флагом на кофре мотоциклиста.

Камеры Flock фотографируют проезжающие автомобили и отправляют изображения с другими данными на серверы компании. Система, предположительно, считывает номер и определяет цвет, марку и модель автомобиля, после чего делает записи с временными метками доступными для поиска.

Почему это важно

Во многих случаях искать данные с камер могут не только местные ведомства, которым принадлежат устройства или предоставлен доступ к ним, но и полицейские департаменты по всей стране через национальную сеть Flock.

WIRED выяснил, что в Alpharetta, штат Georgia, записи с камер были доступны более чем 2 000 организациям, включая полицейские департаменты, колледжи, аэропорты и Office of Inspector General федерального General Services Administration.

Национальная сеть Flock стала источником споров после сообщений о поисковых запросах местных полицейских по поручению Immigration and Customs Enforcement, в том числе в регионах, где запрещено сотрудничество с иммиграционными властями или передача данных о номерных знаках за пределы штата.

Контекст

В начале 2025 года исследователь безопасности Jon «GainSec» Gaines описал уязвимости устройства Flock, которые могли позволить получить доступ уровня root. Компания признала наличие проблем, но заявила, что для их использования нужен физический доступ к камере, а получить записи всё равно нельзя, поскольку изображения вскоре после передачи в облако ненадолго остаются на устройстве.

В разных штатах несколько человек арестовали по подозрению во вмешательстве в работу камер Flock или их саботаже. Некоторые города объявили о планах полностью отказаться от устройств, а один полицейский департамент изготовил фальшивый корпус камеры на 3D-принтере, чтобы заманивать потенциальных вандалов.

Хакеры из коллектива stegan0gram заявили, что решили не ограничиваться уничтожением камер, а провести обратную разработку их оборудования, программного обеспечения и связанной с ним солнечной системы питания.