Flock взломали: ключ шифрования найден
Камера Flock перестала быть защищённой ровно в тот момент, когда оказалась на столе у хакеров. Группа stegan0gram сняла автоматический считыватель номеров с дорожной опоры, разобрала его и скопировала почти всё внутреннее хранилище. Среди файлов нашёлся ключ шифрования, который открыл доступ к тысячам видеозаписей и кадров. Устройство работало на Android и хранило данные в нескольких разделах. Часть из них, включая vendor и media, была незашифрована — именно в media и лежал ключ к другому разделу с фото и видео. Самые чувствительные данные достать не удалось, но случай показывает главное: защита, которая не учитывает физический доступ к железу, ничего не стоит.
На камере работало около 20 приложений Flock — они отвечали за обнаружение движения, съёмку, классификацию объектов, отправку материалов в облако и удалённые обновления. Когда появлялась машина, камера делала серию снимков с разной экспозицией. Один автомобиль оставлял обычно около 28 кадров, а иногда больше сотни. Логи сохранили примерно 21 день работы за несколько периодов. За это время камера зарегистрировала около 50 200 автомобилей и создала примерно 1,6 млн изображений. В обычный день устройство фиксировало порядка 3300 машин. Масштаб совпадает с прежними данными о сети Flock, камеры которой используют для автоматического отслеживания транспорта в американских городах.
Извлечённое ПО показало ещё одну деталь. Камера умеет обнаруживать не только автомобили и номерные знаки, но также людей и велосипеды. Специалисты WIRED запустили извлечённые модели на 27 321 коротком видеоролике из памяти устройства. Алгоритм обнаружил людей в 11 роликах, и во всех случаях речь шла о мотоциклистах. Небольшое число объясняется расположением камеры над дорогой, где пешеходы редко попадали в поле зрения. Признаков работающего распознавания лиц при анализе не нашли. Зато выяснилось, что детектор номерных знаков иногда принимает за номер наклейки, рамки дилеров и другие изображения. В одном случае алгоритм выделил нашивку с американским флагом на сумке мотоциклиста. Такие ошибки показывают, насколько много зависит от программной части камер, а уязвимости в прошивке уже не раз превращали устройства наблюдения в самостоятельный источник риска.
Проблемы с физической защитой Flock известны давно. Ещё в 2025 году специалист Джон Гейнс разобрал считыватели Falcon и Sparrow и нашёл отсутствие шифрования флеш-памяти, отключённую безопасную загрузку и жёстко заданные учётные данные. Flock тогда называла риск низким, ссылаясь на необходимость физического доступа, и уверяла, что он не позволит получить видеоматериалы. Новая находка ставит эту оценку под вопрос. Компания заявила, что вскрытие камеры незаконно и что через программу раскрытия уязвимостей она о проблеме не получала. А в начале 2026 года вокруг Flock уже разгорался другой скандал: сотни камер оказались доступны через интернет без пароля, а партнёрство с Ring связало считыватели номеров с ещё одним крупным источником видеозаписей.