美國網(wǎng)絡(luò)安全研究團隊stegan0gram近日從一條公路旁物理拆除了一臺Flock車牌自動識別相機，在完整復(fù)制其內(nèi)存后發(fā)現(xiàn)，設(shè)備的加密密鑰以明文形式存放在未受保護的分區(qū)中，與該設(shè)備記錄的160萬張車輛圖像一同暴露。相關(guān)調(diào)查由404 Media與WIRED聯(lián)合完成，并于2026年9月16日公開。

Flock是一家向美國警方及地方政府銷售自動車牌讀取器的企業(yè)，此前曾向客戶承諾設(shè)備內(nèi)置的加密功能可在硬件被竊取時保護錄像數(shù)據(jù)。此次發(fā)現(xiàn)直接推翻了該宣傳點。根據(jù)系統(tǒng)架構(gòu)分析，Android設(shè)備的內(nèi)存分為多個分區(qū)，其中“vendor”和“media”分區(qū)未進行加密，“media”分區(qū)內(nèi)直接存放了用于解鎖另一加密分區(qū)的密鑰，而該加密分區(qū)才實際保存著相機拍攝的影像文件。

在被提取的數(shù)據(jù)中，該相機在21天內(nèi)記錄了約5.02萬輛次車輛，生成160萬張照片及2.7萬余段短視頻。系統(tǒng)不僅能讀取車牌，還能放大保險杠貼紙等細節(jié)，部分視頻片段甚至捕捉到騎摩托車人員衣物上的補丁。記錄中還包含超過2.7萬條“設(shè)備存儲空間已滿”的系統(tǒng)提示，表明該設(shè)備在內(nèi)存滿載狀態(tài)下仍在持續(xù)運行。

技術(shù)層面，該相機搭載Android 8.1操作系統(tǒng)，該系統(tǒng)已于2017年發(fā)布，官方支持于2021年終止，安全補丁停止更新時間為2018年6月5日，底層Linux內(nèi)核為2017年的3.18.71版本（維護周期至2019年5月結(jié)束）。研究人員指出設(shè)備存在兩項已知漏洞：CVE-2021-1905涉及高通Adreno GPU驅(qū)動內(nèi)存管理缺陷，CVE-2018-9568（WrongZone）可導(dǎo)致管理員權(quán)限提升。此外，固件代碼庫中硬編碼了一個API密鑰，攻擊者僅需獲取設(shè)備的MAC地址即可向Flock服務(wù)器請求任意相機的認證憑證。

Flock公司回應(yīng)稱，未經(jīng)授權(quán)拆卸并篡改其設(shè)備屬于違法行為，并表示公司設(shè)有漏洞披露政策，但至今未收到相關(guān)報告，且目前缺乏足夠依據(jù)評估黑客主張。盡管公司強調(diào)了非法操作的法律風(fēng)險，但其回應(yīng)并未解決密鑰明文存儲、系統(tǒng)長期未獲安全更新及固件硬編碼憑證等技術(shù)問題。

該事件已引發(fā)監(jiān)管層面的關(guān)注。美國國會已提出《No FLOCK Act》法案，擬授權(quán)交通部長對未對車牌數(shù)據(jù)使用設(shè)定限制各州的聯(lián)邦公路資金扣留10%，并將數(shù)據(jù)用途限定為收費、尋回被盜車輛、搜救失蹤或遇險人員、追查重罪嫌疑人及重罪涉案車輛等五項。波士頓當局已因擔憂數(shù)據(jù)共享風(fēng)險宣布停用Flock服務(wù)。在歐洲，車輛牌照受《通用數(shù)據(jù)保護條例》（GDPR）管轄，意大利數(shù)據(jù)保護局此前已叫停奧林匹克體育場內(nèi)的面部識別系統(tǒng)，大規(guī)模公共空間監(jiān)控設(shè)備的數(shù)據(jù)保管責任正受到更嚴格審視。