Компания Flock Safety инициировала процесс удаления сайта «Flock Surveillance Map», который содержит данные о местоположении 335 701 камеры наблюдения по всей стране. Ресурс был создан исследователем безопасности Джошуа Майклом, который использовал для этого информацию, полученную через незащищенный программный интерфейс системы. Компания направила жалобу на нарушение прав на товарный знак, требуя закрытия проекта.
Подробности обнаружения уязвимости
Согласно информации издания The Intercept, в ноябре 2025 года Майкл обнаружил уязвимость на сайте Flock, которая позволяла получить токен доступа без прохождения аутентификации. С помощью этого токена исследователь получил доступ к ArcGIS — сторонней картографической платформе, которую компания использует для управления своими устройствами. Это позволило ему извлечь базу данных о расположении камер.
Майкл утверждает, что незамедлительно уведомил компанию о проблеме 13 ноября 2025 года. В своем электронном письме он подчеркнул, что тестирование проводилось без вмешательства в работу системы: он не обходил аутентификацию, не изменял данные и не совершал платных операций через сервисы ArcGIS или Google. После нескольких попыток связаться с организацией он получил ответ, в котором представители компании пообещали провести внутреннюю проверку и сообщить о дальнейших шагах, однако, по словам исследователя, обратной связи более не поступало.
Последствия утечки данных и реакция компании
Уязвимость была устранена в январе 2026 года, уже после публикации Майклом результатов его изысканий. Однако к этому моменту он успел выгрузить базу данных, на основе которой и был создан сайт с картой камер. Представители Flock Safety настаивают на том, что платформа никогда не подвергалась хакерским атакам, а данные пользователей не были скомпрометированы. Однако исследователь полагает, что такие заявления не соответствуют действительности, поскольку база была извлечена до официальных опровержений со стороны компании.
Майкл отмечает, что подобная позиция Flock вызывает серьезные вопросы: «Это оставляет два варианта: либо они знали о взломе и предпочли промолчать, чтобы избежать репутационных потерь, либо они вовсе не знали об утечке. Первое — это провал в прозрачности, второе — провал в обнаружении с последствиями для национальной безопасности».
Риски для объектов стратегического значения
Ситуация вновь подняла дискуссию о мерах кибербезопасности Flock. Ранее исследователи обнаружили, что камеры компании хранят ключи шифрования непосредственно на самих устройствах, что позволило извлечь более 27 000 видеозаписей. Кроме того, система неоднократно подвергалась критике из-за случаев неправомерного использования: полицейские применяли её для слежки за личной жизнью, а однажды произошел инцидент с задержанием автоблогера из-за неверного полицейского отчета.
Особую тревогу вызывает масштаб системы. Майкл утверждает, что широкое распространение камер позволяет отслеживать перемещения сотрудников оборонного сектора и гражданских лиц. Анализ показал, что люди, проживающие в радиусе 20 миль от 22 секретных объектов, включая Пентагон, штаб-квартиры ЦРУ и ФБР, а также авиабазу Эглин и базу Эндрюс, имеют вероятность от 57,22% до 93,94% попасть в объектив камер Flock при поездках на работу и обратно.
Правовые претензии к владельцу карты
Несмотря на отсутствие комментариев для СМИ перед публикацией расследования, Flock Safety оперативно отреагировала на создание карты. Интересы компании представляет фирма Doppel, специализирующаяся на защите от социальной инженерии. В официальном требовании указано, что использование названия «FLOCK SAFETY» в доменном имени или на самом ресурсе нарушает права на товарный знак и может ввести клиентов в заблуждение. На основании этого компания настаивает на немедленном удалении сайта с картой наблюдений.
Дополнительные подробности инцидента
Важным аспектом технической стороны взлома является то, что уязвимость позволяла получить токен доступа без использования учетных данных пользователя. Джошуа Майкл подчеркнул в своем обращении к компании, что все его действия были строго неинтрузивными и ограничивались изучением открытых, неаутентифицированных конечных точек (endpoints). Он прямо заявил, что в процессе исследования не производилось обхода механизмов защиты, модификации данных или инициации платных операций в сервисах ArcGIS или Google.
Несмотря на то, что представитель компании ответил на его второе письмо фразой «Спасибо за предоставленные данные, мы проводим внутреннюю проверку и вскоре вернемся с дальнейшими шагами», дальнейшей коммуникации со стороны Flock не последовало. Майкл отмечает, что этот факт демонстрирует либо неспособность компании обнаружить факт эксфильтрации данных, либо сознательное умалчивание проблемы ради сохранения репутации.
Уязвимости инфраструктуры и риски
Проблемы с безопасностью устройств Flock не ограничиваются одним инцидентом с ArcGIS. Ранее хакерам удавалось обнаружить, что камеры компании хранят ключи шифрования непосредственно на самом «железе». Эта уязвимость привела к возможности извлечения более 27 000 видеоклипов. Более того, анализ архивов показал, что только за 21 день работы одного из устройств система успела зафиксировать и сохранить более 1,6 миллиона изображений.
Масштабы системы создают угрозы не только для рядовых граждан, но и для национальной безопасности. Исследователь указал на то, что плотность размещения камер позволяет отслеживать перемещения военнослужащих и гражданского персонала, работающего на объектах оборонного значения. Вероятность попадания человека в поле зрения системы при нахождении в 20-мильной зоне от 22 критически важных точек (включая Пентагон, штаб-квартиры ЦРУ и ФБР) варьируется от 57,22% до 93,94%.
Правовое давление
В попытке закрыть проект Майкл столкнулся с претензиями, оформленными через компанию Doppel — специалиста в области защиты от социальной инженерии. Представители Flock Safety настаивают, что использование названия «FLOCK SAFETY» на сайте исследователя является неправомерным использованием товарного знака, которое может запутать потенциальных клиентов компании. Примечательно, что данные требования направляются несмотря на наличие на сайте «Flock Surveillance Map» специального всплывающего окна (pop-up), которое при первом посещении ресурса предупреждает пользователей о его неофициальном характере.
_large.png "«Лаборатория Касперского»: через сайт Daemon Tools распространялся бэкдор")
