Boston, plaka verisi ülke genelinde aranabilir hale geldiği için Flock Safety ile yollarını ayırdı

Bir siber saldırı değil, yapılandırma ayarı

Boston'un belediye başkanı Eylül 2026'da şehrin, otomatik plaka okuma ağının arkasındaki tedarikçi Flock Safety ile ilişkisini sonlandırdığını duyurdu. UFD Tech'in haberlerine dayanan bir dev.to yazısına göre bu karar bir hack saldırısıyla tetiklenmedi. Karar, Boston'un plaka okuma verisini şehrin hiçbir zaman onaylamadığı amaçlarla ülke genelindeki polis departmanlarının arayabilmesini sağlayan bir yapılandırma ayarının keşfedilmesinin ardından geldi.

Flock'un sabit kameraları geçen her aracı fotoğraflıyor ve plaka numarasını, zaman damgasını ve konumu kaydediyor. Ağa katılan kurumlar bu veriyi birbirleriyle paylaşabiliyor ve Boston örneğinde varsayılan ayarlar, şehrin verisini şehir yetkililerinin fark ettiğinden çok daha geniş bir alana yaydı. Yapılandırma sorunu işaret edildikten sonra Flock bu açığı kapattı. Ancak dev.to yazısına göre, kimin Boston plakalarını zaten aradığını gösteren bir audit kaydı yoktu ve temel kayıtlar, sistemin standart 30 günlük saklama penceresi içinde çoktan eskimişti. Sakinler, yaşanan veri ifşasından yaklaşık on yedi ay sonra haberdar oldu.

Tedarikçinin sözleşmesini feshetmek plaka okumayı durdurmadı

dev.to yazısının dikkat çektiği, daha az ilgi gören ayrıntı ise şuydu: Boston Polis Departmanı, Flock sözleşmesinin feshedilmesi duyurulmadan önce bile Motorola ve Axon gibi diğer tedarikçilerden 75 plaka okuma kamerası kurmuştu. Plaka yakalama işlemi farklı bir marka adı altında devam etti.

Aynı yazıya göre kamu kayıtları, beş ay boyunca plaka veritabanına yaklaşık 11.000 arama yapıldığını gösterdi. Bu aramaların kabaca yarısında hiç vaka numarası yoktu; yani aramayı hangi soruşturmanın, eğer varsa, gerekçelendirdiğine dair bir kayıt bulunmuyor.

Başarısızlık modu tedarikçi değişiminden sonra da yaşıyor

dev.to yazısı, temel riskin hiçbir zaman özellikle Flock olmadığını savunuyor. Bir plaka okuma ağı, login bilgisi elinde tutan her birey kadar güvenilirdir: sistem meşru bir çalıntı araç sorgusu ile bir polisin eski bir partnerinin aracının genellikle nerede göründüğünü araştırmasını birbirinden ayıramaz. Yazıya göre ülke genelinde yüzlerce polis, kişisel nedenlerle ve hiçbir vaka olmadan plaka veya veritabanı aramaları yaptığı için resmi olarak suçlandı. Bir tedarikçiyi bir başkasıyla değiştirmek veya feshedilen bir sözleşme hakkında basın açıklaması yapmak bunların hiçbirini değiştirmiyor.

Yazı, bir şehir bir gözetim sözleşmesini sonlandırdığını söylediğinde sorulmaya değer soruları listeliyor: donanımın gerçekten sökülüp sökülmediği ya da yalnızca etiketinin değiştirilip değiştirilmediği, her aramanın bir audit kaydında zorunlu bir vaka numarasına bağlı olup olmadığı, verinin ne kadar süre saklandığı ve süresi dolmadan kimin sorgulayabileceği ile denetimin, kameraları işleten departmandan bağımsız olup olmadığı.

Neden önemli

Boston, gözetim hesap verebilirliğinin pratikte nasıl başarısız olduğuna dair somut bir vaka çalışması: bir yapılandırma hatası veriyi ülke genelinde ifşa etti, düzeltme önceden kimin eriştiğine dair bir hesap olmadan geldi, 30 günlük saklama penceresi kanıtı herkes denetleyemeden sildi ve yerine, aynı işletim modeliyle farklı donanımlardan oluşan yeni bir ağ sessizce kuruldu. Tedarikçinin adı değişirken teşvikler yerinde kaldı.

Teknik okuyucular için bu hikâye ayrıca, paylaşımlı veri sistemlerinde varsayılan ayarların politika olduğunu gösteriyor. Boston'un yaşadığı ifşaatın bildirildiğine göre kaynağı bir saldırgan değil, şehrin çalıştırdığını bilmediği ayarlardı ve saklama takvimi, sonradan incelenecek bir şeyin kalmayacağını garantiyordu. Kimin neyi ne zaman sorguladığını yeniden kuramayan bir denetim rejimi, gözetim değil varsayımdır. dev.to yazısının önerdiği gibi, atılacak pratik bir adım, kendi şehrinizin kamu kaydı taleplerine yanıt olarak plaka okuma arama kayıtlarını yayınlayıp yayınlamadığını kontrol etmek; birçok departman yayınlamıyor ve gözetimin genellikle tam da bu boşlukta buharlaştığını unutmamak gerek.