מצלמות המעקב של חברת Flock Safety הפכו בשנים האחרונות לאחד מנכסי המודיעין המרכזיים של גופי האכיפה בארצות הברית. החברה שיווקה את המערכות כקוראי לוחיות בלבד וטענה בעקביות כי המידע מוצפן הרמטית, אך תחקיר עיתונאי רחב היקף חושף כעת כי המציאות בשטח שונה לחלוטין.
קבוצת האקרים המכונה stegan0gram תלשה מצלמה פיזית מכביש מהיר ושלפה מתוכה את כל הנתונים, אשר הועברו לאתר 404 Media ולמגזין WIRED. הממצאים מוכיחים כי לא מדובר רק בזיהוי לוחיות תמים, אלא באיסוף מידע מסיבי ושיטתי, לצד הפקרת מפתחות הצפנה קריטיים על גבי המכשיר עצמו.
מפתח הפענוח הופקר בתוך המצלמה
Flock טענה בעבר כי גישה פיזית למצלמה לא תאפשר חילוץ תכנים, מאחר שהחומרים נמחקים מיד ומוצפנים בקפידה. בפועל, החומרה שנבדקה מריצה אנדרואיד על מעבד סמארטפון סטנדרטי וכוללת מחיצות אחסון לא מוגנות, שבאחת מהן נשמר מפתח הפענוח עצמו לצד עשרות אלפי סרטונים ותמונות שנשמרו.
ניתוח יומני המערכת של המצלמה לאורך שלושה שבועות חושף תיאבון איסוף בלתי נתפס. המכשיר צילם מעל 1.6 מיליון תמונות של כ-50,200 כלי רכב, כאשר כל רכב חולף הופצץ בצרור של 28 עד יותר מ-100 תמונות בחשיפות שונות כדי לקלוט לא רק את הלוחית אלא את כל סביבתו הקרובה.
מעבר לכך, התוכנה מצוידת באלגוריתמים מתקדמים של ראייה ממוחשבת שמטרתם לעקוב ישירות אחר בני אדם, הולכי רגל ורוכבי אופניים. בדיקות מעבדה הוכיחו כי המודל ממקם אנשים ומחשב רמת ודאות לגביהם, אם כי לא נמצאו ראיות להפעלת זיהוי פנים ביומטרי מלא בזמן אמת.
קריסות סדרתיות ובדיחות מביכות בקוד
העומס החריג שהמערכת יצרה הכריע את החומרה המוגבלת. יומני המצלמה תיעדו יותר מ-27,000 שגיאות של מחסור במקום אחסון, שהובילו לקריסות חוזרות ונשנות ולאיתחולים בלתי פוסקים. במקביל נרשמה רגישות יתר מוזרה, כשהאלגוריתם סימן מדבקות פגוש ופאץ' של דגל כלוחיות רישוי.
לצד הכשלים ההנדסיים, נחשפו גם בדיחות פנימיות של המפתחים. סקריפט בדיקה רץ מדי שתי דקות והדפיס ליומן מעל 12,000 פעמים את המשפט "?!Who’s a good boy", בעוד שבעת ביצוע איתחול מלא של המערכת פלט הקוד הודעה צינית: "!A reboot was requested! ¡Adiós, Amigos".
התחקיר מתפרסם בשיאו של זעם ציבורי על השימוש ברשת הארצית של החברה. המערכת מאפשרת לגופי אכיפה לבצע חיפושים חוצי-מדינות, וכבר תועדו מקרים שבהם שוטרים ניצלו אותה בניגוד לחוק לטובת רשויות ההגירה הפדרליות, ואף לשם מעקב ואיתור של אישה שעברה הפלה בטקסס.
התנערות החברה מול איום ההאקרים
בתגובה לפרסום בחרה חברת Flock Safety לנקוט קו הגנתי ותוקפני. החברה גינתה את חבלת ההאקרים במכשיר כפעולה פלילית, טענה כי לא קיבלה דיווח מסודר דרך ערוצי האבטחה הרשמיים, והתחמקה ממתן תשובות ענייניות למחדל האבטחה שהותיר את מפתחות ההצפנה חשופים ונגישים.
מנגד, חברי קבוצת ההאקרים stegan0gram אינם מתכוונים לעצור כאן ומאותתים כי הקרב על שקיפות המעקב רק מתחיל. הם הודיעו כי בכוונתם לפרסם מדריכים טכניים מפורטים ברשת, שיאפשרו לציבור לחלץ את התוכנה ואת המידע המאוחסן ממצלמות נוספות הפרוסות כיום ברחבי ארה"ב.
טעינו? נתקן! אם מצאתם טעות בכתבה, נשמח שתשתפו אותנו