Хакера́м удалось извлечь ПО и ключ шифрования камеры Flock, сообщает 404 Media

«Зачем просто уничтожать их, когда мы можем подвергнуть их обратной разработке и узнать секреты тех, кто шпионит за нами?» — заявил 404 Media один из хакеров.

Хакер входит в коллектив под названием stegan0gram. Группа сняла камеру Flock Safety с дорожной мачты и скопировала практически все ее данные. Они поделились файлами с 404 Media и некоммерческой организацией Distributed Denial of Secrets. Последняя передала их изданию WIRED. Оба издания совместно проанализировали данные и опубликовали свои выводы 16 сентября. Хакеры заявляют, что также публикуют подробности о том, как им удалось получить ПО, чтобы другие могли повторить их действия.

В тот же день два члена Конгресса объявили о внесении законопроекта, который будет подталкивать штаты к ограничению использования камер Flock и других систем считывания номерных знаков.

Ключ шифрования, хранящийся на устройстве

Компания Flock заявляла, что ее камеры защищены шифрованием на самом устройстве. Хакеры рассказали 404 Media, что им удалось проникнуть в систему Android внутри камеры. Они обнаружили несколько незашифрованных разделов, в том числе с именами «vendor» и «media».

В разделе «media» содержался ключ шифрования. Этот ключ открывал доступ к другому разделу, содержащему большую часть видеозаписей и фотографий, сделанных камерой. Согласно совместному анализу, наиболее конфиденциальные области хранения устройства остались зашифрованными.

В 2025 году исследователь безопасности Джон Гейнс (Jon Gaines) провел обратную разработку считывающего устройства Flock и задокументировал уязвимости, которые потенциально могут предоставить root-доступ. Компания Flock признала эти выводы в то время, отметив, что для этого требуется физический доступ к устройству, а изображения остаются на нем лишь короткое время после выгрузки.

Что записывает камера

Как выяснили издания, процессор камеры аналогичен тем, что используются в смартфонах среднего класса. На нем запущено около 20 приложений, разработанных Flock. Эти приложения отвечают за обнаружение движения, съемку, классификацию объектов, загрузку данных и удаленные обновления.

Когда в поле зрения кто-то появляется, камера делает серию быстрых снимков. Обычный проезжающий автомобиль приводил к созданию около 28 изображений, а некоторые — более 100. Судя по всему, сама камера не считывает номерной знак и не определяет марку, модель и цвет автомобиля — эта работа, по-видимому, происходит на серверах Flock.

Восстановленные логи охватывали примерно 21 день активности. За это время камера запечатлела около 50 200 автомобилей и сгенерировала примерно 1,6 миллиона изображений. В самый загруженный день было зафиксировано 4454 автомобиля.

ПО также обнаруживает людей, транспортные средства, номерные знаки и велосипеды. При обнаружении человека оно записывает его положение в кадре и показатель степени уверенности. Журналисты WIRED прогнали извлеченные модели через 27 321 короткий ролик с камеры и обнаружили людей на 11 видео — все они были запечатлены на мотоциклах.

Детектор номерных знаков иногда обрезал наклейки на бамперах и рамки автосалонов так, будто это номерные знаки. В одном из роликов он вырезал нашивку в виде американского флага на седельной сумке мотоциклиста.

Издания не обнаружили никаких признаков работы функций распознавания лиц, помимо стандартных возможностей Android, которые, судя по всему, не использовались. Компания Flock утверждает, что ее камеры не занимаются распознаванием лиц.

В логах также было обнаружено более 27 000 ошибок «на устройстве не осталось свободного места» (no space left on device). Примерно каждые две минуты проверка работоспособности камеры записывала в лог сообщение: «Кто хороший мальчик?!» (Who’s a good boy?!).

Реакция компании Flock

«Несанкционированное изъятие камеры Flock и манипуляции с ней являются незаконными», — заявил представитель Flock в комментарии для 404 Media. В компании сообщили, что не получали никаких отчетов через свою политику публичного раскрытия уязвимостей, добавив, что у них недостаточно деталей для оценки сделанных заявлений, и призвали хакеров направить свои выводы через этот официальный канал.

Flock продает доступ к национальной сети, в которой полицейские департаменты из разных городов могут осуществлять поиск по камерам друг друга. Ранее WIRED выяснил, что в американском городе Алфаретта (штат Джорджия) более 2000 ведомств имели доступ к записям городских камер. В августе Flock запустила инструмент поиска на базе ИИ для полиции. В том же месяце компания сократила <срок хранения данных> до семи дней.

Законопроект No FLOCK Act

Члены Палаты представителей Раджа Кришнамурти (демократ от штата Иллинойс) и Майкл Клауд (республиканец от штата Техас) сообщили изданию WIRED, что планируют внести законопроект 16 сентября. Название No FLOCK Act расшифровывается как Закон о наблюдении за номерными знаками и использовании камер на федеральном уровне (Federal License-Plate Observation and Camera Keeping).

Документ обязывает министра транспорта США удерживать 10% ежегодного федерального финансирования штата на автомагистрали, дороги и мосты, если штат не введет ограничения на использование подобных камер. Текст законопроекта разрешает лишь пять вариантов их применения.

К ним относятся: контроль оплаты проезда по платным дорогам, поиск угнанных машин, а также поиск пропавших или находящихся в опасности людей. Еще два сценария охватывают автомобили, зарегистрированные на лиц с ордером на арест за тяжкое преступление, и транспортные средства, причастные к тяжким преступлениям.

Если законопроект будет принят в этом году, штаты, не соблюдающие требования, начнут терять финансирование с октября 2028 года. При этом, как отмечает WIRED, законопроект не запрещает сами камеры и не мешает ведомствам обмениваться данными о номерах.

Кришшнамурти заявил в своем заявлении, что расследование в отношении Flock выявило «серьезные пробелы в надзоре». «Камеры Flock способствуют массовой слежке за американцами, нарушая Четвертую поправку», — отметил Клауд.

Президент Дональд Трамп заявил 13 сентября, что камеры помогают правоохранительным органам, сообщает WIRED. Компания Flock не сразу ответила на запрос WIRED о комментарии по поводу законопроекта.

Этот законопроект появился на фоне аналогичных мер на уровне штатов. Ранее в этом месяце Флорида и Техас предприняли меры против камер Flock в течение одной недели. К текущему году сеть камер Flock распространилась по всем США.

Теперь в ассортимент ее продукции также входят полицейские дроны быстрого реагирования, использование которых город Стоктон (штат Калифорния) одобрил в июне.