Säkerhetsmiss avslöjade över 335 000 övervakningskameror

Säkerhetsforskaren Joshua Michael har publicerat en interaktiv karta som uppges visa platsen för 335 701 enheter i Flock Safetys amerikanska övervakningsnätverk.

Flock levererar automatiska kameror som fotograferar förbipasserande fordon och läser av registreringsskyltar. Tekniken används av bland annat polismyndigheter, bostadsområden och företag för att söka efter stulna eller efterlysta fordon.

Kartan omfattar inte enbart kameror. Underlaget ska innehålla mer än 170 000 kameror och över 130 000 andra enheter som ingår i nätverket.

Uppgifter gick att hämta utan vanlig inloggning

Michael uppger att han hittade en åtkomsttoken på Flocks webbplats som gjorde det möjligt att fråga företagets karttjänst utan vanliga inloggningsuppgifter.

Genom tjänsten kunde han hämta en databas med information om nätverkets enheter och deras placeringar. Uppgifterna ska ha kopierats i slutet av 2025.

Forskaren säger att han kontaktade Flock om problemet i november samma år. Sårbarheten ska senare ha åtgärdats, men informationen hade då redan hämtats och kunde användas till kartan.

Flock har uppgett att företagets molnplattform inte har utsatts för ett dataintrång. Företaget och forskaren ger därmed olika bilder av hur händelsen ska beskrivas.

Läs mer: Varningen: Din bil samlar in och säljer din data

Kamerorna registrerar bilar som passerar

Flocks kameror är automatiska registreringsskyltsläsare, ofta kallade ALPR. De tar bilder av passerande fordon och registrerar bland annat registreringsskylt, tid och plats.

Informationen kan sedan sökas av behöriga användare. Polisen kan exempelvis använda systemet för att hitta ett fordon som anmälts stulet eller kopplats till ett brott.

Skillnaden mot en vanlig trafikkamera är att uppgifterna kan samlas i sökbara databaser. När ett stort antal kameror kopplas samman blir det möjligt att följa hur fordon rör sig mellan olika platser.

Det är den möjligheten som gjort tekniken omstridd. Kamerorna registrerar inte bara misstänkta eller efterlysta bilar, utan även vanliga trafikanter som råkar passera.

Läs mer: Frihet eller säkerhet? AI gör den gamla frågan mer aktuell än någonsin. 

Kartan visar nätverkets verkliga omfattning

Flock har tidigare uppgett att företaget driver över 120 000 kameror i USA. Michaels material ger en bredare bild eftersom det även innehåller andra typer av utrustning som är kopplad till systemet.

Det innebär inte automatiskt att samtliga enheter är aktiva eller att kartan visar nätverkets exakta omfattning i dag. Informationen ska huvudsakligen komma från slutet av 2025 och kan därför innehålla utrustning som har flyttats, stängts av eller aldrig tagits i drift.

Kartan visar samtidigt hur omfattande infrastrukturen har blivit. Forskaren pekar särskilt på kameror i närheten av militära baser, underrättelsemyndigheter och andra känsliga anläggningar.

Om någon vet var kamerorna finns kan informationen användas för att undvika övervakning. Men en detaljerad karta kan också visa var systemet saknar täckning eller hur personer som arbetar vid känsliga anläggningar sannolikt rör sig.

Flock vill få kartan nedtagen

Efter publiceringen fick Michael ett klagomål om varumärkesintrång från säkerhetsföretaget Doppel, som agerade för Flocks räkning.

Invändningen gäller användningen av namnet Flock Safety och risken att besökare kan tro att kartan drivs eller godkänts av företaget. Michael har däremot gjort det tydligt på webbplatsen att projektet är oberoende och inte är anslutet till Flock.

Försöket att ta ned kartan handlar därmed inte bara om den ursprungliga säkerhetsbristen. Konflikten har också blivit en fråga om varumärken, säkerhetsforskning och allmänhetens möjlighet att granska privat övervakningsinfrastruktur.

Samma data kan skydda och kartlägga

Flock framhåller att kamerorna kan hjälpa polisen att hitta stulna fordon och lösa brott. Kritiker anser att nätverket gör det möjligt att kartlägga människors rörelser utan tillräcklig insyn och kontroll.

Den nya kartan sammanfattar konflikten tydligt. Platsdata kan hjälpa allmänheten att se hur omfattande övervakningen är, men samma information kan också användas av personer som vill undvika kamerorna eller kartlägga känsliga verksamheter.

Händelsen visar dessutom att metadata om säkerhetsutrustning i sig kan vara känslig. Ett företag behöver inte läcka bilder eller registreringsnummer för att en säkerhetsmiss ska få konsekvenser. En detaljerad lista över var utrustningen finns kan vara värdefull information på egen hand.