El 16 de septiembre se hizo público que un grupo de hackers identificado como stegan0gram retiró físicamente una cámara de Flock Safety instalada sobre una carretera y copió buena parte de su almacenamiento local. Una clave guardada en la partición «media» permitió desbloquear vídeos e imágenes de vehículos, mientras otra parte de los datos permaneció cifrada o inaccesible.
El hallazgo expone algo más concreto que una supuesta intrusión en la nube: qué capturaba y cómo trabajaba una cámara desplegada. Los registros recuperados cubrían unos 21 días de actividad y reunían aproximadamente 1,6 millones de imágenes asociadas a 50.200 vehículos.
Qué reveló la cámara de Flock
La cámara ejecutaba Android y tenía alrededor de 20 aplicaciones desarrolladas por Flock para gestionar la detección de movimiento, la captura de imágenes, la clasificación de objetos, las cargas y las actualizaciones remotas. En el almacenamiento local aparecían las particiones «vendor» y «media», descritas como no cifradas; la segunda contenía la clave que permitió abrir parte de los archivos multimedia.
Los registros y archivos recuperados describen una captura mucho más amplia que una única fotografía de cada matrícula. La cámara tomaba ráfagas de imágenes con distintas exposiciones para registrar la matrícula y el entorno del vehículo.
| Función o dato observado | Resultado registrado | Alcance o condición |
| Vehículos fotografiados | Aproximadamente 50.200 | Una sola cámara, durante unos 21 días de actividad recuperada |
| Imágenes generadas | Aproximadamente 1,6 millones | Incluye las imágenes producidas durante esas ventanas de actividad |
| Imágenes por vehículo | Unas 28 normalmente | Algunos vehículos generaron más de 100 imágenes |
| Vídeos cortos | 27.321 clips MP4 | Duraban generalmente entre uno y dos segundos, con 1.024 × 768 píxeles y sin audio |
| Categorías detectadas | Personas, vehículos, matrículas y bicicletas | También aparecían clasificaciones de algunos gráficos, como adhesivos y marcos de concesionario |
| Errores de almacenamiento | Más de 27.000 mensajes | Los registros incluían el aviso «no space left on device» |
La cámara parecía encargarse de capturar, seleccionar, recortar y transmitir las imágenes. La lectura de matrículas y la identificación de marca, modelo y color del vehículo parecían realizarse en los servidores de Flock, no directamente en el dispositivo.
La escala de la actividad registrada
El volumen resulta llamativo incluso con una advertencia importante: corresponde a una única cámara y a unas ventanas concretas de actividad. La ubicación y el tráfico de cada instalación pueden cambiar mucho los resultados.
En un día típico de los registros recuperados aparecían alrededor de 3.300 detecciones de vehículos, con un máximo de 4.454. La cifra de imágenes por vehículo también ayuda a entender el diseño del sistema: no se trataba de una captura aislada, sino de una secuencia rápida de fotografías con diferentes exposiciones.
Los archivos incluían además 27.321 clips breves. Al probar el software con ese material, se detectaron personas en 11 clips; los 11 casos correspondían a personas que circulaban en motocicleta. El ángulo descendente de la cámara sobre la carretera condicionaba ese resultado.
Detectar personas no equivale a reconocer caras
El software identificaba categorías como personas, vehículos, matrículas y bicicletas. Eso no convierte automáticamente la detección de personas en reconocimiento facial.
En la cámara analizada no aparecieron indicios de que el reconocimiento facial estuviera activo. Sí se observaron clasificaciones visuales imperfectas: en algunos casos, el sistema trató adhesivos, marcos de concesionario u otros gráficos como si fueran matrículas. Uno de los ejemplos descritos convirtió un parche con la bandera estadounidense en un recorte similar al de una matrícula.
Qué queda dentro de la cámara y qué pasa en la nube
La separación entre almacenamiento local y plataforma cloud es el punto clave del caso. El acceso descrito se produjo después de retirar físicamente una cámara y examinar sus archivos; no fue una intrusión demostrada en la infraestructura central de Flock.
Flock sostiene que su infraestructura cloud nunca ha sido comprometida y que ningún dato de clientes ha sido accedido o extraído mediante un ataque contra esa plataforma. La compañía también calificó de ilegal la retirada y manipulación no autorizadas de la cámara, y afirmó que no tenía información suficiente para valorar las afirmaciones técnicas del grupo.
Ambas cuestiones pueden coexistir: una plataforma central puede no haber sufrido una intrusión mientras un dispositivo desplegado conserva archivos y una clave de descifrado accesibles tras una intervención física. En este caso, además, no todo el almacenamiento pudo abrirse: una parte de los datos más sensibles permaneció cifrada o inaccesible.
Un problema que ya había aparecido en investigaciones anteriores
En junio de 2025, Jon “GainSec” Gaines publicó una investigación sobre el acceso de nivel raíz a un lector automático de matrículas Flock Safety Falcon Sparrow cuando se disponía de acceso físico al dispositivo. El hallazgo de 2026 vuelve a situar el hardware instalado en la calle en el centro de la discusión sobre la seguridad del sistema.
El caso tampoco es el mismo que la exposición de una interfaz de depuración de algunas cámaras Flock Safety Condor comunicada en enero de 2026. Aquella incidencia afectaba a una vía de acceso a cámaras conectadas a Internet; la investigación publicada en septiembre se centró en el almacenamiento local recuperado de una cámara retirada físicamente.
