- Au moins 60 caméras Condor PTZ de Flock basées sur l’IA étaient exposées sur Internet à travers les États-Unis sans mot de passe
- Les caméras exposées permettaient de regarder les flux en direct, télécharger 30 jours d’archives vidéo, modifier les paramètres et accéder aux journaux
- Les caméras Condor sont conçues non pas pour lire les plaques d’immatriculation, mais pour suivre les visages et les mouvements des personnes, avec des fonctions de zoom et de rotation
- Des chercheurs ont découvert cette exposition via le moteur de recherche Shodan et ont effectivement pu identifier des personnes dans des parcs, parkings et pistes cyclables
- Ce cas met en lumière les risques de surveillance non autorisée et d’exposition des données personnelles dans les lieux publics, ainsi que la nécessité de mieux sécuriser les infrastructures de surveillance par IA
État de l’exposition des caméras Flock Condor
- Au moins 60 caméras Condor PTZ équipées d’IA de Flock étaient accessibles publiquement sur Internet
- N’importe qui pouvait, sans connexion, regarder les flux en direct ou télécharger 30 jours d’archives vidéo
- L’accès au panneau d’administration permettait de modifier les paramètres, consulter les fichiers journaux et lancer des diagnostics
- Le journaliste s’est rendu à un carrefour de Bakersfield, en Californie, et s’est placé devant une caméra pour vérifier que son image était diffusée en direct
- Des collègues situés à plusieurs centaines de miles ont pu regarder le même flux à distance
Fonctionnalités des caméras Condor et exemples de captation
- Condor est une caméra de suivi des personnes dotée de fonctions pan-tilt-zoom (PTZ), différente des caméras Flock destinées à la lecture des plaques d’immatriculation
- Elle peut zoomer automatiquement sur le visage d’une personne ou la suivre via une commande manuelle
- Les caméras exposées filmaient des personnes en haute résolution dans des parcs, parkings, routes et aires de jeux
- On y voit une femme promenant son chien sur une piste cyclable en banlieue d’Atlanta, un homme sur le parking du Macy’s de Bakersfield, des enfants sur une aire de jeux et des conducteurs arrêtés à un feu rouge
- Un homme passant en roller sur une piste cyclable à Brookhaven, en Géorgie, a été capté successivement par plusieurs caméras
- La résolution vidéo était suffisamment élevée pour permettre d’identifier qu’il regardait une vidéo de roller sur son téléphone
Comment l’exposition a été découverte
- Le YouTubeur et expert technique Benn Jordan a d’abord découvert l’exposition, puis l’a partagée avec le chercheur en sécurité Jon “GainSec” Gaines
- Gaines avait déjà découvert auparavant de nombreuses failles dans les caméras de reconnaissance automatique des plaques (ANPR) de Flock
- Tous deux ont utilisé le moteur de recherche Shodan pour trouver des caméras mal sécurisées
- Le journaliste s’est rendu sur place pour vérifier les informations fournies et a confirmé l’emplacement des caméras via des contrats municipaux et des présentations d’entreprise
Réactions et inquiétudes des chercheurs
- Jordan a déclaré qu’il pouvait voir « sans nom d’utilisateur ni mot de passe » des aires de jeux, des parkings, des clients et toutes sortes de scènes
- Il dit avoir particulièrement pris conscience de la gravité du risque en voyant des images d’aires de jeux avec des enfants
- Il a aussi montré qu’il était possible d’utiliser des outils open source pour identifier une personne précise à partir d’une partie des images exposées
- L’objectif était de démontrer le potentiel de détournement malveillant de cette exposition
Enjeux de sécurité et de protection de la vie privée
- L’exposition des caméras de Flock révèle une absence de gestion rigoureuse de la sécurité dans les systèmes de surveillance par IA
- Elle confirme le risque que des images filmées dans l’espace public puissent être divulguées, conservées et manipulées sans autorisation
- Lors de l’exploitation d’infrastructures de surveillance basées sur l’IA, il est indispensable de renforcer le contrôle d’accès et les mesures de protection des données
Aucun commentaire pour le moment.