2025/12/23 1:31
**フロックはAI搭載カメラをインターネットに公開――私たちは自らを追跡した**
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
FlockのCondor PTZカメラは、米国各都市で広く導入されており、認証なしにオープンインターネット上で公開されています。Shodanを使用して少なくとも60台が特定され、研究者は近隣を歩くだけで誰でもライブフィードを見ることができると確認しました。このカメラは自動フェイスズーム機能を備えており、駐車場や遊び場、自転車道、交通停止点などの公共スペースを通じて個人を追跡できます。また30日間のアーカイブを保存し、完全な管理パネルへのアクセスも提供します。
Benn JordanとJon “GainSec” GainesはShodanで露出を発見し、ベーカーズフィールドとピーチトリーブリーク・グリーンウェイで現場検証しました。保護されていないフィードには、子供が監視なしに遊ぶ様子や買い物客が車から荷物を降ろす場面、自転車道のローラーボーダーなどのセンシティブな映像が含まれており、オープンソースツールで個人を特定するために使用できます。
FlockのCondorシリーズは他モデルと異なり、ナンバープレートよりも人を対象として高解像度PTZ追跡を提供します。同社はすでに自動ナンバープレートリーダーに関する追加欠陥を明らかにしており、契約書や技術プレゼンテーションはCondorユニットが米国の自治体で広く導入されていることを確認しています。
フィードは何百マイル離れた場所から認証なしでアクセスできるため、この脆弱性は遠隔監視や乱用のリスクを伴います。この露出は、人間の詳細な追跡と録画が可能な未保護IoTデバイスによってもたらされる危険性を浮き彫りにし、プライバシー侵害、規制監査、Flockへの評判損失、および業界のセキュリティ基準強化への要請につながる可能性があります。
本文
私はカリフォルニア州ベーカーズフィールドにあるクロスロードビジネスパークの外、ハリスロードとヤングストリートの角に立ち、交通信号機の上に高く設置されたフロック監視カメラを見上げています。スマホでリアルタイムに自分自身を映し出すカメラが、パスワードやログインなしでオープンインターネットへライブストリームしているのを確認しました。交差点へ足を踏み入れ、カメラを見つめて手を振ると、ライブ配信上で自分自身がはっきりと映ります。数百マイル離れた場所にいる同僚も、露出したフィードを通じて私の姿を遠隔で観察していました。
フロックは、国内に設置された少なくとも60台のAI搭載コンダー（Condor）カメラをオープンインターネットへ公開し、誰でも視聴できるようにしたり、30日分の映像アーカイブをダウンロードしたり、設定を変更したり、ログファイルを閲覧したり、診断ツールを実行したりすることが可能でした。フロック製カメラの多くは車両通過時にナンバープレートを取得するよう設計されていますが、コンダーカメラはPTZ（パン・チルト・ズーム）機能付きで、人間を撮影・追跡することを目的としています。コンダーは、駐車場や公共の道路、遊び場などで歩行者の顔に自動でズームインさせる設定が可能であり、フロックのウェブサイト上のマーケティング資料でもそのように記載されています。
私たちは、アトランタ郊外のサイクリングパスを犬と散歩する女性、ベーカーズフィールドのメイシーズ駐車場を通る男性、遊び場でブランコに乗る子どもたち、そして交通信号機で止まっている人々を高解像度で撮影したコンダー映像を観察しました。さらに、ジョージア州ブルックヘイブンのピーチトリークリーグ・グリーンウェイサイクリングパスを滑走する男性も追跡し、その姿が別の露出カメラのライブストリームに再び映る様子を確認しました。画質は十分高く、彼がカメラの下で停止した際にはスマートフォンでローラーブレード動画を視聴していることが分かりました。
この脆弱性の発見は、YouTuber兼テクノロジストのベン・ジョーダン（Benn Jordan）が最初に行い、セキュリティ研究者ジョン「GainSec」ゲインズと共有しました。後者はフロックの自動ナンバープレート読み取りカメラ（ALPR）の他モデルでも多数の脆弱性を発見しています。彼らが私に報告した情報を確認し、ベーカーズフィールドへ足を運び、2台のコンダー前でライブストリームを監視しながら歩くことで、多くの露出されたポータル情報を検証しました。また、フロック社の市政府契約書や技術に関する会社プレゼンテーション資料からデータを取得し、米国各地の都市・町で数台のカメラを位置特定しました。ジョーダンはピーチトリークリーグ・グリーンウェイサイクリングパスでいくつかのカメラ前に自ら映像を撮影しています。
ジョーダン氏は、Shodan（IoT検索エンジン）を使って多くの露出されたカメラを発見したと述べています。フィードへのリンクを取得すると「すぐにユーザー名もパスワードもなく、プレイグラウンドから駐車場、人々がクリスマスショッピングや荷物を車に積み込む様子まで何でも見ることができた」と語ります。彼は「最初に本当に怖くなった瞬間だった。特に影響を受けたのは遊び場で、放置された子どもたちが映っていたので、人々にこの危険性を知ってもらいたい」と述べています。またYouTube動画では、露出フィードから取得した映像をオープンソース調査ツールで特定人物を識別し、このような脆弱性がどれほど容易に悪用できるかを示しています。