Камера Flock для зчитування автомобільних номерів, яку фізично зняли біля дороги, зберігала записи, доступ до яких відкрив ключ із самого пристрою. Про це йдеться в розслідуванні WIRED і 404 Media від 16 вересня. Журналісти також перевірили моделі комп’ютерного зору й виявили, що вони здатні знаходити людей у кадрі. Доказів активного розпізнавання облич вони не знайшли. Це суттєва різниця: помітити людину на зображенні — ще не означає встановити її особу. [1]
Ключ опинився поруч із захищеними записами
Угруповання, яке зняло камеру, передало скопійовані файли журналістам. За даними розслідування, у незашифрованій ділянці сховища містився ключ до іншої ділянки з медіафайлами. Значна частина чутливих даних пристрою залишилася недоступною. Йдеться про фізичне дослідження однієї камери, а не про доведений дистанційний злам загальнонаціональної хмарної платформи Flock.
Цей результат ставить точніше питання, ніж просто «чи використовується шифрування». Щоб прочитати зашифровані дані, потрібен ключ; захист залежить і від того, наскільки окремо його зберігають. Зашифрована копія та доступний ключ на одному вилученому пристрої створюють інший ризик, ніж хмарна база, ключами якої керують окремо. Описана проблема стосується саме локального зберігання, а не зламу алгоритму шифрування.
У попередньому повідомленні про безпеку, опублікованому в травні 2025 року, Flock стверджувала, що фізичний доступ не дасть зловмиснику записів: після передавання у хмару вони нібито залишаються на пристрої лише ненадовго. Нове розслідування ставить цю гарантію під сумнів для дослідженого апарата. Воно не встановлює стан усіх моделей і версій програмного забезпечення в експлуатації. [2]
Що насправді показала перевірка виявлення людей
WIRED запустило вилучені з камери моделі на тестових зображеннях і відновлених відео. Вони знаходили людей, зокрема мотоциклістів в 11 із 27 321 короткого ролика. Ці числа описують набір для журналістської перевірки та її результати. Це не кількість встановлених осіб і не доказ того, що поліція виконувала пошук людей. Розташування камери над проїзною частиною також обмежує висновки з цієї вибірки. [1]
Детектор відповідає на вузьке питання: де на зображенні є щось схоже на людину? Ідентифікація за обличчям потребувала б іншого висновку — хто саме ця людина. Журналісти не знайшли доказів активної роботи функцій розпізнавання облич у дослідженому програмному забезпеченні камери.
Однак питання приватності залишається. Людина може потрапити на збережене дорожнє зображення, навіть якщо система призначена для пошуку автомобілів. У своєму публічному поясненні Flock говорить про роботу з інформацією про транспорт і відсутність розпізнавання облич. Нові результати вимагають точніше розділяти те, що камера знімає, що її локальні моделі здатні класифікувати та якими функціями можуть користуватися клієнти. Це різні питання. [3]
Локальні записи й хмарний строк зберігання — окремі питання
У відповіді журналістам Flock заявила, що не отримувала повідомлення через свою процедуру розкриття вразливостей і не має достатньо технічних деталей, щоб оцінити твердження. Компанія також заперечила проти несанкціонованого демонтажу обладнання. Ця відповідь не є оприлюдненим підтвердженням усунення описаної проблеми з ключем. [1]
Чинна політика Flock установлює стандартний строк зберігання у сім календарних днів, з урахуванням умов окремих клієнтських договорів. Вона також визначає клієнтів власниками й розпорядниками даних та спрямовує запити сторонніх осіб до відповідних клієнтів. Водночас правило для хмарного зберігання саме собою не підтверджує, коли конкретна камера видаляє локальні ролики, журнали чи файли, що очікують передавання. А один досліджений пристрій не доводить порушення строків усіма клієнтами. [4]
Для громади чи організації, яка перевіряє свої камери, наступний крок предметний: з’ясувати в оператора модель і версію ПЗ, склад локальних даних після передавання у хмару, спосіб захисту ключів, фактичний строк зберігання та коло осіб із доступом до пошуку й обміну записами. Варто просити документовані відповіді саме про встановлену систему. Розслідування показує, чому слова «зашифровано» та «без розпізнавання облич» пояснюють лише частину ризику для приватності.
Інший ризик зберігання зображень показав випадок ClarityCheck із відкритим доступом до файлів облич. Там ішлося про хмарну базу сервісу пошуку людей — окремий сценарій, який не слід змішувати з виявленням людини дорожньою камерою.
Джерела
- WIRED і 404 Media. «Хакери отримали доступ до камери Flock: що її дані показали про роботу системи». 16 вересня 2026 року. Розслідування.
- Flock Safety. «Повідомлення про безпеку датчиків пострілів і камер зчитування номерів». Перша публікація — 5 травня 2025 року; переглянуто 17 вересня 2026 року. Повідомлення про безпеку.
- Flock Safety. «Що насправді фіксують камери Flock?» Переглянуто 17 вересня 2026 року. Можливості камер.
- Flock Safety. «Політика роботи з доказовими матеріалами». Оновлено 12 серпня 2026 року; переглянуто 17 вересня 2026 року. Дані та строки зберігання.
