Une caméra Flock compromise contenait une clé donnant accès à ses images

Révélée le 16 septembre 2026, la compromission locale d’une caméra Flock Safety montre qu’un appareil de lecture automatique des plaques pouvait conserver des vidéos et des images accessibles grâce à une clé de chiffrement stockée sur place. Le collectif stegan0gram affirme avoir retiré la caméra au-dessus d’une route et copié une grande partie de son stockage. Des fichiers récupérés ont ensuite permis d’examiner son fonctionnement et l’activité enregistrée.

Le point essentiel tient au périmètre : cette affaire concerne le matériel et le stockage local d’une caméra déployée. Flock Safety affirme de son côté que son infrastructure cloud n’a jamais été compromise et qu’aucune donnée client n’a été consultée ou exfiltrée par une attaque contre le cloud. Les deux déclarations portent donc sur des couches différentes du système.

Ce que la caméra Flock compromise a révélé

La caméra fonctionnait sous Android et embarquait environ 20 applications développées par Flock Safety. Elles géraient notamment la détection de mouvements, la prise d’images, la classification d’objets, l’envoi des fichiers et les mises à jour à distance.

Deux partitions nommées « vendor » et « media » ont été décrites comme non chiffrées. La partition « media » contenait une clé qui permettait d’ouvrir des vidéos et des images conservées sur l’appareil. Une partie du stockage le plus sensible est toutefois restée chiffrée et inaccessible.

La caméra prenait rapidement plusieurs images d’un véhicule, avec des expositions différentes pour couvrir la plaque et la scène alentour. Un véhicule de passage produisait généralement environ 28 images ; certains en généraient plus de 100.

Comment les images et les plaques étaient traitées

La caméra semblait capturer, sélectionner, recadrer et transmettre les images. La lecture des plaques ainsi que l’identification de la marque, du modèle et de la couleur des véhicules semblaient ensuite s’effectuer sur les serveurs de Flock Safety, plutôt que directement sur l’appareil.

Cette séparation compte : une caméra peut produire les images nécessaires à une identification sans effectuer elle-même toute l’analyse. Dans les fichiers récupérés, le logiciel local reconnaissait explicitement plusieurs catégories d’objets, mais cela ne signifie pas que chaque traitement était effectué sur la caméra.

Les journaux contenaient aussi plus de 27 000 erreurs « no space left on device », ainsi que plus de 12 000 messages d’état « Who’s a good boy?! ». Ces messages donnent une idée du fonctionnement logiciel de l’appareil, sans modifier le périmètre de la compromission : les données ont été extraites d’un équipement retiré physiquement.

Une seule caméra, mais beaucoup de données

Les journaux récupérés couvrent environ 21 jours d’activité répartis sur plusieurs périodes. Pour cette caméra, ils représentent environ 50 200 véhicules photographiés et 1,6 million d’images générées. Une journée type comptait environ 3 300 détections de véhicules, avec un pic à 4 454.

Ces chiffres décrivent cette installation et ces fenêtres d’activité. Le volume dépend notamment du trafic et de l’emplacement de la caméra ; il ne permet pas de décrire toutes les installations Flock Safety.

Les images et clips montrent également que la détection de personnes faisait partie des fonctions du logiciel. Lors d’un test portant sur les 27 321 clips récupérés, des personnes ont été détectées dans 11 vidéos seulement. Les 11 détections concernaient des personnes circulant à moto, dans le champ de cette caméra orientée vers la chaussée.

Détection de personnes ne signifie pas reconnaissance faciale

La détection d’une personne consiste à repérer une silhouette ou un individu dans une image. La reconnaissance faciale est une fonction différente, conçue pour comparer un visage à une identité ou à une base de visages.

Dans la caméra examinée, des personnes, des véhicules, des plaques et des vélos étaient explicitement pris en compte par le logiciel. Les analyses réalisées sur les fichiers n’ont trouvé aucun élément montrant qu’une fonction de reconnaissance faciale était activée ou utilisée.

Le système pouvait aussi confondre certains motifs avec des plaques : un autocollant de drapeau américain apposé sur une sacoche de moto a par exemple été recadré comme s’il s’agissait d’une plaque. Cette classification visuelle imparfaite ne constitue pas une preuve de reconnaissance faciale.

Ce que l’incident change pour la sécurité de Flock

Flock Safety a qualifié le retrait et la manipulation non autorisés de la caméra d’illégaux. L’entreprise a aussi déclaré ne pas disposer de suffisamment d’informations pour évaluer les affirmations techniques liées à la clé et aux fichiers récupérés.

Sa position publique sur le cloud reste distincte : Flock affirme que son infrastructure centralisée n’a jamais été compromise et qu’aucune donnée client n’a été consultée ou exfiltrée à la suite d’une attaque contre cette infrastructure. Cela ne retire pas le fait que des médias locaux ont été récupérés sur une caméra physiquement retirée.

L’affaire intervient après des travaux publiés le 19 juin 2025 par Jon « GainSec » Gaines sur l’accès root à un lecteur automatique de plaques Flock Safety Falcon Sparrow. Elle doit aussi être distinguée d’un incident signalé en janvier 2026, qui concernait des caméras Condor et une interface de débogage exposée sur Internet. Ce cas relevait d’un autre produit et d’un autre chemin d’accès que l’extraction physique du stockage local.