Flockカメラのハッキングにより160万枚の画像とシステムの脆弱性が露呈

ハッカーが1台のFlockカメラから160万枚の画像を流出させる

要点: ハッカーグループがFlockのALPR（自動車ナンバー自動読取装置）カメラを盗み出し、そのデバイス内ストレージとログをダンプしました。そこには21日間で撮影された約5万台の車両の画像160万枚が含まれていました。この侵害により、カメラが強力な暗号化なしで生の画像をローカルに保存していること、そして顔認識機能を追加可能なクラウドバックエンドに依存していることが明らかになりました。

流出したデータの内容

画像ボリューム: 50,200台の異なる車両から撮影された約160万枚のJPEG画像。
撮影頻度: デバイスは1日平均3,300台、最大で4,454台の車両を記録していました。
ストレージの障害: ログには27,000件以上の「デバイスの空き容量不足」エラー、数千回のクラッシュ、頻繁な再起動が記録されています。
ハートビートメッセージ: ファームウェアは2分ごとに「Who’s a good boy?!（いい子だね！）」というメッセージを記録しており、復元されたログには12,000回以上出現しています。
システムメッセージ: 再起動イベントには「A reboot was requested! ¡Adiós, Amigos!（再起動が要求されました！さようなら、友人たち！）」というフレーズが含まれており、開発者の遊び心がうかがえます。

これらのアーティファクトはDistributed Denial of Secrets (DDOS)によって公開されており、https://ddosecrets.org/article/flock-alpr-camera で確認できます。

カメラの仕組み – ダンプによって明らかになったアーキテクチャ

デバイス内キャプチャ: カメラは高解像度のフレームをSDカードのようなパーティションにローカル保存します。デバイス内暗号化の痕跡は見つかりませんでした。
定期的なアップロード: 画像はバッチ処理され、Wi-Fi/Bluetooth経由で処理のためにFlockのクラウドサービスへ送信されます。
バックエンド処理: クラウド側でナンバープレート認識（ALPR）が行われます。コミュニティの分析によると、Flockのマーケティングでは「カメラ自体は顔認識を行わない」と主張しているものの、実際には顔認識や人物検知といった追加のAIモデルを実行できる状態です。
APIキーの露出: 流出したファームウェアにはハードコードされたAPIキーが含まれており、保存された認証情報をプレーンテキストで取得可能です。これにより、攻撃者はカメラになりすましてFlockのサーバーにデータを要求できます。

「カメラ自体は顔認識を行いませんが、バックエンドは可能です。システムが人物を検知するため、サーバー側で後から顔認識モデルを実行するのは容易です。」 – HN comment by phkahler

コミュニティが指摘するセキュリティ上の欠陥

保存時の暗号化なし: 生の画像パーティションは認証なしで読み取り可能であり、IoTデバイスのベストプラクティスに反しています。
ハードコードされた認証情報: ファームウェアに埋め込まれたAPIキーにより、バックエンドサービスへの認証なしのアクセスが可能になっています。
古いOS: コメント投稿者は、カメラが8年間セキュリティアップデートが適用されていないAndroidビルドで動作しており、既知のカーネルエクスプロイトに対して脆弱であることを指摘しています。
安全でないブートと鍵管理: killbot5000が指摘したように、デバイスにはセキュアブートチェーンや適切な鍵ストレージがなく、物理的なアクセスが容易な攻撃ベクトルとなっています。
脆弱性開示ポリシー (VDP) の抜け穴: VDPは設定、SSL/TLS、DNSの強化に関する問題の報告を明示的に除外しており、責任ある開示を制限しています。

「『脆弱性開示ポリシー』が単なるPRのパフォーマンスに過ぎない場合、どのようなものになるかを知りたければ、FlockのVDPを読んでみてください。彼らは最も重要なカテゴリを除外しています。」 – HN comment by vayup

運用上の影響と法的背景

潜在的なプライバシー侵害: 撮影された画像には、検知対象外（ノンヒット）のナンバープレートも含まれています。ニューハンプシャー州法（N.H. Rev. Stat. § 261:75-b）では、ノンヒットデータは3分以内に削除しなければならないと定められていますが、流出したログを見る限り、この要件は強制されていないようです。
法執行機関の依存: Flockのカメラは自治体の警察署や連邦機関によって導入されています。流出したデータは、1台のデバイスが侵害されるだけで、公共空間の監視データが大量に流出する可能性があることを裏付けています。
規制リスク: EUのGDPRや米国の州レベルのプライバシー法を考慮すると、暗号化やデータ保持管理の欠如は、それらの管轄区域でデバイスが使用された場合に法執行措置を招く可能性があります。

広範な脅威に関するコミュニティの推測

大量監視の増幅: 複数のコメント投稿者は、バックエンドで顔認識モデルを実行できる能力があれば、単純なALPRシステムが本格的な生体認証監視ネットワークに変貌する可能性があると警告しています。
兵器化の可能性: リークがオープンソース化されたことで、敵対者（外国の諜報機関、ストーカー、家庭内暴力の加害者など）が攻撃を再現し、個人をリアルタイムで追跡する可能性があります。
インフラの脆弱性: 「スティングレイ（携帯電話傍受装置）」のような無線攻撃によってファームウェアの更新を強制し、大量のカメラを物理的に使用不能（ブリック）にできる可能性があるという指摘もなされました。

IoTセキュリティにとっての意味

物理的セキュリティの重要性: 公共空間に設置されるデバイスは、攻撃者が物理的にアクセスできることを前提とする必要があります。セキュアブート、暗号化ストレージ、改ざん検知機能付きハードウェアが不可欠です。
エンドツーエンド暗号化は譲れない: 暗号化せずに生の画像を保存することは、IEC 62443などの業界標準に違反しており、甚大なプライバシーリスクを露呈させます。
透明性の高いVDPが必要: 企業はソフトウェアのバグだけでなく、設定やインフラの脆弱性に関する報告も受け入れるべきです。
規制当局の介入の可能性: 今回の侵害は、ALPRやAIを活用した監視を対象とする今後の法整備の根拠となる具体的な証拠を提供しています。

ステークホルダーがとるべき次のステップ

Flock: 完全なセキュリティアドバイザリの発行、侵害されたAPIキーの失効、暗号化ストレージの導入、およびあらゆるカテゴリの脆弱性報告を受け入れる改訂版VDPの公開。
自治体の購入者: 導入済みカメラのセキュリティ監査の実施、厳格なデータ保持ポリシーの強制、および実証済みのセキュリティ体制を持つ代替ベンダーの検討。
研究者: 流出したファームウェアとログの分析を継続し、バックドア機能やデータ流出経路の特定を行うこと。
政策立案者: ALPR規制を策定する際、暗号化、データ最小化、監査可能性を重視し、今回のリークをケーススタディとして活用すること。

今回のハッキングは、1台の安全でないIoTデバイスが、いかにして大規模で無防備な監視データの入り口になり得るかを浮き彫りにしました。データパイプライン全体にわたる強固なセキュリティ基準の確立が急務です。