Flock Kamera İhlali, Plaka Okuyucularının Araçları ve İnsanları Nasıl Takip Ettiğini Ortaya Çıkardı

Kendilerine stegan0gram diyen hackerlar, bir Flock Safety kamerayı yol üstündeki monte yerinden fiziksel olarak söktü, dahili depolamasının neredeyse tamamını kopyaladı ve dosyaları 404 Media ile şeffaflık odaklı kâr amacı gütmeyen Distributed Denial of Secrets'a iletti; bu kuruluş da dosyaları WIRED ile paylaştı. İki yayının ortak soruşturması, şirketin otomatik plaka okuyucularının gerçekte neyi kaydettiğine dair bugüne kadarki en ayrıntılı kamusal hesabı sunuyor — ve bunun bir parçası insanlar, yalnızca plakalar değil.

İçinde ne vardı

WIRED ve 404 Media analizine göre cihaz, orta segment bir akıllı telefonla karşılaştırılabilir bir işlemcide Android çalıştırıyor; hareket algılama, görüntü yakalama, nesne sınıflandırma, hücresel ağ üzerinden yükleme ve uzaktan güncellemeleri yaklaşık 20 Flock yapımı uygulama üstleniyor.

Flock kameralarını cihaz üzerindeki şifrelemeyle korunduğu şeklinde tanımlamıştı; hackerlar da en hassas depolamanın bir kısmının kilitli kaldığını doğruladı. Ancak kayıtlı medyayı barındıran bölüm de dahil olmak üzere birkaç disk bölümü şifrelenmemişti ve o bölümde bir şifreleme anahtarı da bulunuyordu. Grup bu anahtarla binlerce araç tespitini kapsayan videoların kilidini açtı.

Bu durum, Flock'un güvenlik araştırmacısı Jon "GainSec" Gaines'e önceki yanıtıyla ters düşüyor; Gaines 2025 başında root düzeyinde erişim sağlayan açıkları belgelemişti. Şirket bulgularını kabul etti ama küçümsedi; fiziksel erişimi olan bir saldırganın bile görüntülere "erişemeyeceğini", çünkü fotoğrafların yüklemeden kısa süre sonra cihazdan ayrıldığını ileri sürdü.

Kamera ne görüyor

Yaklaşık 21 günü kapsayan kurtarılan günlükler, kameranın kabaca 50.200 araç fotoğrafladığını ve yaklaşık 1,6 milyon görüntü ürettiğini gösteriyor; günlük ortalama yaklaşık 3.300 araç, zirve ise 4.454. Yoldan geçen tek bir araç tipik olarak 28 görüntü üretti, bazen 100'den fazla; hem plaka hem de daha geniş sahne okunabilir kalsın diye birden fazla pozlamayla çekildi.

Kamera kendisi görünüşe göre plakaları okumuyor ya da aracın markası, modeli ve rengini belirlemiyor; analiz, bunun Flock'un sunucularında gerçekleştiğine işaret ediyor. Cihaz seri çekimlerini tarıyor, işe yarar kareleri kırpıyor ve iletiyor.

Daha önemli bulgu, cihaz üzerindeki yazılımın araçlar, plakalar ve bisikletlerin yanı sıra açıkça insanları da algılaması; bir kişinin karede nerede göründüğünü ve modelin bundan ne kadar emin olduğunu kaydediyor. Bunu test etmek için WIRED, kameranın dosyalarından görü vision modellerini çıkardı ve cihazda saklanan 27.321 kısa video klibi üzerinde çalıştırdı. İnsanlar yalnızca 11 klipte ortaya çıktı — hepsi motosikletli — muhtemelen kamera trafiğe dönük olarak yolun üstünde asılı olduğu için. Modeller, test sırasında bir muhabirin selfiesinde de kişi algıladı.

Plaka algılayıcı, kabul ettiği şeylerde gevşekti: tampon çıkartmaları, bayi çerçeveleri ve diğer grafikler bazen plakaymış gibi kırpıldı; bir motosikletlinin selet çantasındaki Amerikan bayrağı yaması dahil. Araştırmacılar, Android ile gelen uykudaki varsayılanların ötesinde etkin bir yüz tanıma yeteneği bulamadı; bu, Flock'un kamuya açık konumuyla tutarlı.

Ulusal bir erişim ağı

Görüntüler ve meta veriler Flock'un sunucularına akıyor; orada zaman damgalı kayıtlar, her kameranın sahibi olan yerel kurum tarafından — ve birçok durumda şirketin ulusal ağı üzerinden uzaktaki birimler tarafından — aranabilir hale geliyor. WIRED, Georgia'nın Alpharetta kentinde, polis, üniversiteler, havalimanları ve tuhaf bir şekilde Genel Hizmetler İdaresi'nin başmüfettişi dahil 2.000'den fazla kurumun erişebildiği kayıtlar buldu.

Bu erişim daha önce de incelemeye maruz kalmıştı. 404 Media daha önce, yerel polis memurlarının Göç ve Gümrük Muhafaza adına aramalar yaptığını — bunu yasaklayan yargı bölgelerinde bile — ve Teksaslı bir memurun, kendi kendine kürtaj yaptıran bir kadın için ülke genelinde kameraları sorguladığını bildirmişti.

Artan direniş

Hırsızlık, donanıma yönelik muhalefette bir tırmanmayı işaret ediyor. ABD genelinde insanların Flock kameralarına zarar vermek veya sabote etmek iddiasıyla tutuklandığı, bazı kasabaların bunları kullanmayı bırakacağını söylediği ve bir polis departmanının vandalları tuzağa düşürmek için 3D yazıcıyla sahte kamera gövdesi ürettiği görüldü. "Bizi gözetleyenlerin sırlarını bulmak için onları yok etmek yerine tersine mühendislikle çözmez miyiz?" diye konuştu bir stegan0gram üyesi. Grup, yazılımı nasıl elde ettiğini yayınlayacağını ve başkalarını da aynı şeyi yapmaya davet ediyor.

Neden önemli

Flock'un vaadi iki iddiaya dayanıyor: donanım sağlamlaştırılmış ve plakaları değil insanları değil plakaları okuyor. Bu ihlal ikisini de zedeliyor. Cihazdaki şifrelenmemiş bir bölümden kurtarılabilen bir şifreleme anahtarı, fiziksel erişimin görüntü kazandırabileceği anlamına geliyor; kurtarılan yazılım ise kişi algılamanın tesadüfi değil, yerleşik bir işlev olduğunu gösteriyor. Bir kasabanın kayıtlarını binlerce kuruma açan bir ağla birleşen bu bulgular, toplumlara ve düzenleyicilere plaka okuyucularına ilişkin süren tartışma için somut kanıt sunuyor — ve hackerların yönteminin yayınlanması yaklaşırken Flock, tekrarlanan veri çekme girişimleri olasılığıyla karşı karşıya.