نقشه دوربین‌های پلاک‌خوان Flock و افشای گسترده داده‌ها توسط Proton

شرکت Proton با انتشار یک ابزار جدید، نقشه‌ای از دوربین‌های پلاک‌خوان شرکت Flock Safety را در اختیار عموم قرار داده است تا کاربران بتوانند از دستگاه‌های نظارتی فعال در اطراف خود مطلع شوند. این اقدام پس از کشف یک نقص امنیتی جدی در سیستم‌های Flock انجام شده است که ابعاد تازه‌ای از جمع‌آوری داده‌های تردد شهروندان را نمایان می‌کند.

زمینه و نحوه افشای داده‌ها

ماجرا از آنجا شروع شد که در نوامبر ۲۰۲۵، یک پژوهشگر امنیت سایبری به نام Joshua Michael متوجه شد سرورهای شرکت Flock یک توکن دسترسی (Access Token) را بدون نیاز به احراز هویت و به صورت عمومی در دسترس قرار داده‌اند. او پس از گزارش این مسئله به شرکت، یافته‌ها و نقشه حاصل از این داده‌ها را در دسامبر منتشر کرد.

بر اساس این داده‌های افشاشده، این موجودی شامل بیش از ۱۷۰ هزار دوربین و ۱۳۰ هزار دستگاه دیگر از تجهیزات Flock است. این در حالی است که خود شرکت پیش‌تر آمار دوربین‌هایش را حدود ۱۲۰ هزار دستگاه اعلام کرده بود؛ یعنی آمار واقعی حدود ۴۰ درصد بیشتر از ارقام رسمی است.

مکانیزم عملکرد دوربین‌های Flock و پردازش داده‌ها

سیستم‌های Flock بسیار فراتر از یک دوربین پلاک‌خوان ساده (ALPR) عمل می‌کنند. ویژگی Vehicle Fingerprint در این تجهیزات، اطلاعات زیر را ثبت و به فضای ابری ارسال می‌کند:

• ثبت پلاک، زمان و موقعیت جغرافیایی دقیق خودرو
• شناسایی مدل، رنگ و سازنده خودرو
• ثبت جزئیات ظاهری مانند فرورفتگی‌ها، خط و خش و برچسب‌های روی سپر

این اطلاعات به یک دیتابیس ابری بزرگ منتقل می‌شود که به گفته Flock، ماهانه بیش از ۲۰ میلیارد رکورد تردد را در ۴۹ ایالت پردازش می‌کند. پلیس و سازمان‌های مجری قانون به این داده‌ها دسترسی دارند و می‌توانند به صورت سراسری به جستجوی خودروها بپردازند.

چرایی اهمیت موضوع برای مهندسان نرم‌افزار

برای جامعه مهندسی نرم‌افزار و متخصصان امنیت، این پرونده از چند منظر حائز اهمیت است:

• خطاهای کنترل دسترسی (Access Control): افشای یک توکن دسترسی ساده بار دیگر نشان داد که چگونه یک پیکربندی اشتباه یا فراموش‌شدن محدودیت‌های احراز هویت در سمت سرور می‌تواند کل یک زیرساخت انحصاری و عظیم را به خطر بیندازد.
• چالش‌های حریم خصوصی (Privacy): تج تجمیع و پردازش مقادیر عظیمی از داده‌های مکان‌محور شهروندان توسط شرکت‌های خصوصی، پتانسیل بالایی برای سوءاستفاده دارد. بررسی‌های رسانه‌ای قبلاً نشان داده بود که برخی نیروهای پلیس از این سامانه‌ها برای اهداف شخصی استفاده کرده‌اند.
• بحث‌های جامعه هکرنیوز: کاربران در Hacker News ضمن تمجید از خدمات امنیتی Proton (مانند ایمیل رمزنگاری‌شده)، به این نکته اشاره کردند که انتشار چنین ابزارهایی توسط شرکت‌های حامی حریم خصوصی ممکن است واکنش‌های سنگینی از سوی نهادهای دولتی و قانونی به همراه داشته باشد.

این نقشه فعلی، تصویری ایستا از وضعیت دوربین‌ها تا دسامبر ۲۰۲۵ است و تغییرات بعدی (نصب یا جمع‌آوری دستگاه‌ها) را شامل نمی‌شود، اما ابزاری ارزشمند برای درک مقیاس نظارت دیجیتال در فضای شهری به شمار می‌رود.