Op 16 september 2026 werd bekend dat het hackerscollectief stegan0gram een Flock Safety-camera fysiek had verwijderd en een groot deel van de lokale opslag had gekopieerd. Op de camera stond een sleutel waarmee opgeslagen video’s en foto’s konden worden ontsloten. De teruggevonden bestanden laten zien hoeveel beeldmateriaal één installatie verzamelde en welke objecten de software probeerde te detecteren.
De vondst gaat over de lokale hardware en opslag van één camera. Flock Safety zegt dat zijn cloudinfrastructuur nooit is gekraakt en dat er via een aanval op de cloud geen klantgegevens zijn buitgemaakt.
Wat de teruggevonden Flock-camera onthulde
De camera draaide op Android en bevatte ongeveer twintig door Flock gebouwde toepassingen voor onder meer bewegingsdetectie, beeldopname, objectclassificatie, uploads en updates op afstand. De partities ‘vendor’ en ‘media’ werden als niet-versleuteld beschreven. In de partitie ‘media’ stond een sleutel die opgeslagen video’s en stilstaande beelden ontsloot.
Niet alle opslag kwam vrij: een aanzienlijk deel van de gevoeligste gegevens bleef versleuteld en ontoegankelijk. De teruggevonden bestanden waren dus geen volledige kopie van alles wat de camera ooit had opgeslagen.
| Onderdeel | Vastgestelde waarde | Omstandigheid |
| Bewaarde activiteit | Ongeveer 21 dagen | Verspreid over meerdere perioden in de logboeken |
| Gefotografeerde voertuigen | Circa 50.200 | Afkomstig van één camera |
| Gegenereerde afbeeldingen | Ongeveer 1,6 miljoen | Tijdens de teruggevonden activiteiten |
| Afbeeldingen per passerend voertuig | Meestal ongeveer 28 | Sommige voertuigen leverden meer dan 100 beelden op |
| Korte videoclips | 27.321 | MP4-bestanden van doorgaans één tot twee seconden, zonder audio |
| Clips met persoonsdetectie | 11 | Alle elf betroffen motorrijders |
De camera maakte bij passerende voertuigen snel achter elkaar stilstaande beelden met verschillende belichtingen. Zo ontstonden zowel uitsneden van de nummerplaat als beelden van de bredere omgeving. In de logboeken stonden bovendien meer dan 27.000 meldingen met de tekst “no space left on device”: de opslag liep dus herhaaldelijk tegen haar grens aan.
Hoe de camera de beelden verwerkte
De camera leek beelden vast te leggen, te selecteren, uit te snijden en door te sturen. Het lezen van nummerplaten en het bepalen van merk, model en kleur leek vervolgens op Flock-servers plaats te vinden. De camera was daarmee niet alleen een doorgeefluik voor nummerplaten, maar verzamelde eerst een bredere beeldstroom.
De software detecteerde naast voertuigen en nummerplaten ook mensen en fietsen. Soms werden grafische elementen als nummerplaat behandeld, zoals een bumpersticker, een dealerframe of een Amerikaanse vlag op een motorzadeltas. Dat wijst op brede visuele classificatie, niet op gezichtsherkenning.
Persoonsdetectie is geen gezichtsherkenning
De software bevatte een functie voor persoonsdetectie, maar de camera gebruikte volgens de analyse geen actieve gezichtsherkenning. In slechts 11 van 27.321 teruggevonden korte clips werden mensen gedetecteerd; in alle elf gevallen ging het om motorrijders.
Dat onderscheid is technisch belangrijk. Persoonsdetectie markeert dat er een mensachtig object in beeld staat. Gezichtsherkenning probeert daarentegen een persoon aan specifieke gezichtskenmerken of een identiteit te koppelen. De eerste functie maakt de tweede niet automatisch aanwezig.
Lokale opslag versus een cloudinbraak
Flock Safety zegt dat zijn cloudplatform nooit is gecompromitteerd en dat geen klantgegevens via een cloudaanval zijn geopend of buitgemaakt. Die verklaring gaat over de centrale cloudomgeving. De ontsloten video’s kwamen uit opslag die fysiek uit één camera was gehaald.
De twee situaties beschrijven dus verschillende aanvalsroutes. Een cloudplatform kan intact blijven terwijl een aanvaller met fysieke toegang tot een apparaat lokale bestanden en sleutels aantreft. Omgekeerd zegt de lokale vondst op zichzelf niets over een succesvolle inbraak in Flocks centrale systemen.
Flock noemde het ongeoorloofd verwijderen en manipuleren van een camera illegaal. Het bedrijf zei ook dat het via zijn kwetsbaarheidsmeldingsbeleid geen melding had ontvangen en onvoldoende informatie had om de technische claims van de hackers te beoordelen.
Eerdere beveiligingsincidenten hadden een andere vorm
De vondst volgde op beveiligingsonderzoek uit 2025 naar fysieke toegang tot een Flock-lezer, waarbij toegang op rootniveau werd beschreven. Een afzonderlijk incident uit januari 2026 betrof Condor-camera’s waarvan een debuginterface via internet bereikbaar was. Dat was een ander product en een andere toegangsmethode dan de fysieke extractie van lokale opslag.
De nieuwe casus maakt vooral zichtbaar hoe een camera aan de weg gegevens verwerkt: van snelle beeldreeksen en objectdetectie tot lokale opslag en serververwerking. De centrale cloudomgeving en de opslag in een afzonderlijk apparaat vormen daarbij twee verschillende beveiligingsgrenzen.
