ハッカー集団がFlockカメラの暗号化キーを抽出しデータ復号に成功、ナンバープレートや車両だけでなく人物も識別していることが明らかに

2026年09月17日 16時40分 セキュリティ

防犯総合ソリューション企業の「Flock Safety(Flock)」がアメリカ全土のおよそ6000の地域に設置している、自動ナンバープレート読み取り機能(ALPR)を備えたカメラから、ハッカーが暗号化キーの抽出とデータの復号に成功したことが明らかにしました。

Hackers Stole Flock’s Camera Software, Revealing How the Company Tracks Cars and People

https://www.404media.co/hackers-stole-flocks-camera-software-revealing-how-the-company-tracks-cars-and-people-2/

Flock cameras are riddled with security vulnerabilities and hard-coded credentials

https://micahflee.com/flock-cameras-are-riddled-with-security-vulnerabilities-and-hard-coded-credentials/ Flockの監視カメラはALPRによるナンバープレートの画像記録だけでなく、車両、所有者、自動車の移動経路を特定するための識別データも収集することで知られています。このデータは令状なしで収集・保管・アクセスできるため、法執行機関にとって一般市民に関するデータを収集するための「一般的な回避策」となっており、この点がアメリカ国民の反感を買ってFlockカメラが破壊される事態が発生しました。

アメリカ全土でFlock Safetyの監視カメラが破壊されている - GIGAZINE

記録されたデータは一般には公開されていませんが、Flockカメラを所有したりアクセス権を持っていたりする地方自治体や多くの警察署の職員は内容の検索が可能となっています。これにより、警察署長がナンバープレート追跡システムを使って元恋人をストーキングしていたことが報道されるなど、警察官によって不正に使用される問題が発生していました。電子フロンティア財団(EFF)が入手した公的記録では、警察官らはデータ利用時の理由として「LMAO(laughing my ass off：お尻が取れるほど笑った)」「IDK(I don't know：知らない/わからない)」「hehe」「asdfg(キーボード2段目をAキーから右へ5文字入力)」など適当な内容を入力していたことも判明しています。

Flockの監視カメラ映像使用理由を警察官が「LMAO(爆笑)」「IDK(知らない)」などと入力していたことが判明 - GIGAZINE

EFFから「そもそも、自動ナンバープレート識別システム(ALPR)の情報を利用する際には裁判官の署名した令状を取得する必要があるというのが常識」と非難を受けたこともあり、Flockは不正利用対策を表明しています。

ハッカーは、このFlockカメラを破壊してストレージの内容をコピーし、内部から暗号鍵を抽出したとのこと。暗号化方式には、暗号化と復号に別の鍵を用いる公開鍵暗号方式と、暗号化と復号を同じ鍵で行う共通鍵(秘密鍵)暗号方式がありますが、Flockは共通鍵暗号方式だったため、ハッカーは抽出した鍵で暗号化データを復号することに成功しています。

復号データのほぼ完全なコピーは404 Mediaと、非営利の機密情報公開サイト・Distributed Denial of Secretsに提供され、さらに、Distributed Denial of SecretsがWIREDに提供。最終的に、404 MediaとWIREDが共同で情報を公開しました。 Flockカメラは通過する車両1台につき数十枚の画像を撮影していて、復元された数週間分のログには100万枚以上の画像が含まれていました。データからは、Flockカメラが車両やナンバープレートの移動経路だけでなく、人物の検出も行っていることが明らかになったと404 Mediaは指摘しています。中には、バンパーに貼られたステッカーやその他の要素、たとえばバイクのサドルバッグに貼られたアメリカ国旗のワッペンまで検出していた事例があるそうです。

Flockカメラに搭載されたソフトウェアが実際に何を識別しているのかを調査するため、カメラのファイルからモデルを抽出し、デバイスから復元された画像と映像に対して実行するテストも実施されました。その結果、モデルは記者の自撮り写真を含め、人物を容易に検出しました。また、カメラに保存されている1～2秒の短いMP4クリップに対してモデルを実行することで、バイクに乗っている人物を検出することも成功しています。なお、Flockは「カメラは顔認識機能を備えていない」と主張しており、今回のテストでは顔認識機能が存在する証拠は見つかりませんでした。

またWIREDの調査によると、市内のFlockカメラの記録が警察署・大学・空港・連邦一般調達局(GSA)の監察官室を含む2000以上の機関からアクセス可能であることも発見されました。 別の調査では、Flockカメラはカスタム版のAndroid上で動作していて、データ抽出によってファームウェアが2025年6月5日のビルドであることが確認されました。しかし、ベースとなったAndroid 8.1は2021年に公式サポートが終了していて、当該カメラではパッチ状況が2018年6月5日段階となっていたため、およそ8年分のセキュリティ更新プログラムが適用されていないことが指摘されています。

stegan0gramと名乗るハッカー集団の1人は404 Mediaに対し「スパイ行為を働く者たちの秘密を探り出すために、なぜただ破壊するだけなのでしょうか。我々は現場でハードウェアの制約を解消し、無力化し、カメラと関連する太陽光発電機器のリバースエンジニアリングを進めました」と語りました。 メディアの問い合わせを受け、Flockの広報担当者は声明で「Flockカメラの無断取り外しや改ざんは違法です。Flockはセキュリティを重視しており、セキュリティ研究者が潜在的な脆弱(ぜいじゃく)性を直接報告できるよう、脆弱性開示ポリシーを公開しています。このプロセスを通じて報告は受けておらず、提供された限られた情報では、内容を評価するのに十分な詳細がありません。もし個人が正当な脆弱性を発見した場合は、セキュリティチームが調査し、適切な措置を講じられるよう、脆弱性報告プロセスを通じて技術的な発見を提出することを推奨します」と述べています。 ハッカーが提供したデータの一部はDistributed Denial of Secretsが公開しています。

Flock ALPR camera - Distributed Denial of Secrets

https://ddosecrets.org/article/flock-alpr-camera