Flock Safety ฮาร์ดโค้ดรหัสผ่านของโครงสร้างพื้นฐานการเฝ้าระวังในสหรัฐฯ ไว้ 53 ครั้ง

 (nexanet.ai)
2 คะแนน โดย GN⁺ 2026-01-10 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • มีการยืนยันว่า Flock Safety ผู้ดำเนินการเครือข่ายเฝ้าระวังทั่วสหรัฐฯ ได้ฮาร์ดโค้ดคีย์ ArcGIS API และปล่อยให้ถูกเปิดเผยใน JavaScript bundle สาธารณะ 53 ชุด
  • คีย์นี้สามารถเข้าถึง สภาพแวดล้อม ArcGIS ที่ใช้บริหารจัดการข้อมูลตำแหน่งและข้อมูลการตรวจจับของหน่วยงานราว 12,000 แห่งแบบรวมศูนย์ และเนื่องจากไม่มีการจำกัด IP หรือ referrer ใครก็สามารถใช้งานได้
  • ข้อมูลที่ถูกเปิดเผยรวมถึง ตำแหน่งรถตำรวจ, ข้อมูลการจัดวางโดรน·body cam·สาย 911·กล้องวงจรปิด ซึ่งเป็นข้อมูลตำแหน่งที่มีความอ่อนไหวสูง
  • นักวิจัยยังพบ ช่องโหว่ที่สอง เพิ่มเติม ซึ่งสามารถออก ArcGIS token ได้โดยไม่ต้องยืนยันตัวตน และปล่อยให้ไม่ถูกแพตช์นานเกิน 55 วัน
  • เหตุการณ์นี้สะท้อนถึง ความเสี่ยงร้ายแรงด้านความมั่นคงแห่งชาติและการคุ้มครองข้อมูลส่วนบุคคล และถูกชี้ว่าควรได้รับการตรวจสอบจากสภาคองเกรสและหน่วยงานกำกับดูแลของสหรัฐฯ

สรุปและสิ่งที่ค้นพบสำคัญ

  • คีย์ ArcGIS API ของ Flock Safety ถูกรวมอยู่ใน JavaScript bundle เว็บสาธารณะ 53 ชุด และให้สิทธิ์เข้าถึง data layer ภายในราว 50 รายการ

    • คีย์ดังกล่าวเป็นคีย์ API แบบ Default ซึ่งเป็น credential ระดับทั้งองค์กรที่ออกให้อัตโนมัติเมื่อสร้างบัญชี ArcGIS
    • ไม่มีการจำกัด referrer, IP หรือโดเมน ทำให้ใครก็เข้าถึงได้

  • ข้อมูลที่เข้าถึงได้ผ่านคีย์นี้รวมถึง การตรวจจับป้ายทะเบียนรถ, ตำแหน่งรถสายตรวจ, telemetry ของโดรน, สาย 911, ตำแหน่งกล้องเฝ้าระวัง

    • ข้อมูลของ สถานีตำรวจราว 5,000 แห่ง, ชุมชน 6,000 แห่ง, บริษัทเอกชน 1,000 แห่ง ตกอยู่ในความเสี่ยง

  • FlockOS เป็น อินเทอร์เฟซแบบแผนที่เดียว ที่รวมอุปกรณ์เฝ้าระวังและข้อมูลทั้งหมดเข้าด้วยกัน โดยมี ArcGIS เป็นแกนหลัก

    • คีย์ที่รั่วไหลให้อำนาจเข้าถึงชั้นข้อมูลของแผนที่แบบรวมนี้ทั้งหมด

Flock Safety และโครงสร้างพื้นฐานการเฝ้าระวัง

  • Flock Safety ดำเนินการ เครื่องอ่านป้ายทะเบียนรถ, โดรน, เซ็นเซอร์เสียง ทั่วสหรัฐฯ และเก็บข้อมูลการตรวจจับยานพาหนะมากกว่า 30 พันล้านรายการต่อเดือน
  • ระบบนี้บริหารข้อมูลทั้งหมดแบบรวมศูนย์บนแผนที่เดียวผ่านแพลตฟอร์มที่ใช้ ArcGIS เป็นฐานชื่อ FlockOS
  • คีย์ API ที่ถูกเปิดเผยจึงทำหน้าที่เหมือนกุญแจที่ปลดล็อกโครงสร้าง “One Map” นี้ทั้งหมด

รายละเอียดของช่องโหว่

  • credential ที่ถูกเปิดเผยเป็นคีย์ระดับองค์กรซึ่งเชื่อมกับสภาพแวดล้อม ArcGIS ทั้งหมดของ Flock Safety

    • พบคีย์เดียวกันซ้ำ ๆ ใน endpoint สาธารณะ 53 จุด
    • แต่ละ endpoint สามารถเข้าถึงสภาพแวดล้อม ArcGIS ได้อย่างอิสระ

  • ตามเอกสารของ Esri คีย์ API ใช้กำหนด สิทธิ์เข้าถึงคอนเทนต์สาธารณะและไม่สาธารณะ และต้องจำกัด scope กับ referrer ก่อนนำไปใช้งานจริงเสมอ

    • แต่ Flock ไม่ได้ใช้ข้อจำกัดเหล่านี้เลย

หมวดหมู่ข้อมูลที่ถูกเปิดเผย

  • โครงสร้างพื้นฐานการเฝ้าระวัง: กล้องของตำรวจ·ชุมชน·ภาคเอกชน, โดรน, เซ็นเซอร์เสียง, อุปกรณ์จากผู้ให้บริการภายนอก
  • ข้อมูลตำแหน่ง: GPS รถสายตรวจ, body cam, สมาร์ตวอตช์, CAD event, ประวัติการลาดตระเวน
  • ข้อมูลบุคคล·ยานพาหนะ: การแจ้งเตือนการตรวจจับ, ประวัติการค้นหา, สัญญาณเตือนเสียง (รวมถึงการตรวจจับเสียงปืน)
  • ข้อมูลสืบสวน: การตรวจจับ hotlist, ตัวกรองการค้นหา, พื้นที่ค้นหาเชิงภูมิศาสตร์
  • ข้อมูลระบุตัวบุคคล (PII): ชื่อผู้ลงทะเบียนกล้อง, อีเมล, หมายเลขโทรศัพท์, ที่อยู่, จำนวนกล้อง
  • ข้อมูล Flock911: ตำแหน่งเหตุการณ์แบบเรียลไทม์, call ID, token สำหรับเข้าถึงไฟล์ถอดเสียง, สถานะการเล่นเสียง
  • ข้อมูลสถานะโดรน: สถานะอุปกรณ์ เช่น กำลังบันทึก, กำลังชาร์จ, ออฟไลน์

รูปแบบการเปิดเผย credential ซ้ำ ๆ

  • นอกเหนือจากคีย์ API แบบ Default เดิม ยังพบ ช่องโหว่ที่ออก ArcGIS token ได้โดยไม่ต้องยืนยันตัวตน เพิ่มเติม
    • token ที่ชื่อ “Flock Safety Prod” สามารถเข้าถึงข้อมูลเครือข่ายกล้องจริงได้
    • หลังการรายงานครั้งแรกเมื่อวันที่ 13 พฤศจิกายน 2025 ก็ยังคงไม่ถูกแพตช์เกิน 55 วัน
คุณสมบัติ Default API Key Flock Safety Prod
รายการที่เข้าถึงได้ รายการไม่สาธารณะ 50 รายการ ไม่มี
การเข้าถึงเครือข่ายกล้อง ได้ ได้
แหล่งที่มา JS bundle สำหรับพัฒนา การออก token โดยไม่มีการยืนยันตัวตน
สถานะ แก้ไขแล้ว (มิถุนายน 2025) ยังไม่ถูกแพตช์ (เกิน 55 วัน)
  • สภาพแวดล้อมสำหรับพัฒนามี สิทธิ์เข้าถึงกว้างกว่าสภาพแวดล้อม production และยังเปิดให้เข้าถึงจากภายนอกได้

ความเสี่ยงต่อความมั่นคงแห่งชาติและข้อมูลส่วนบุคคล

  • ข้อมูลตำแหน่งระดับประเทศสามารถเปิดเผย รูปแบบการเคลื่อนไหวของนักการเมือง, บุคลากรทางทหาร, เจ้าหน้าที่ข่าวกรอง ได้
    • เพียงช่องว่างของข้อมูลตำแหน่งก็อาจใช้อนุมานการเริ่มปฏิบัติการพิเศษได้
  • หากหน่วยข่าวกรองต่างชาตินำข้อมูลเหล่านี้ไปใช้ในทางมิชอบ ก็อาจ อนุมานข้อมูลปฏิบัติการได้โดยไม่ต้องดักฟังการสื่อสาร
  • ภายในประเทศเองก็มีความเสี่ยงที่จะถูกนำไปใช้เพื่อ ละเมิดความเป็นส่วนตัว, ข่มขู่, แทรกแซงอิทธิพล

ตัวอย่างการใช้งานในทางที่ผิดจริง

  • บราซิลตัน รัฐจอร์เจีย (2025) : ผู้กำกับการตำรวจถูกจับในข้อหาใช้กล้อง Flock เพื่อตามสะกดรอยบุคคลเป็นการส่วนตัว
  • เซดจ์วิก รัฐแคนซัส (2023–2024) : ผู้กำกับการตำรวจติดตามอดีตคนรัก 228 ครั้ง และกรอกเหตุผลการสืบสวนอันเป็นเท็จ
  • ออเรนจ์ซิตี รัฐฟลอริดา (2024–2025) : ตำรวจนายหนึ่งติดตามอดีตคนรัก และถูกจับในข้อหาเข้าถึงข้อมูลโดยมิชอบกับสะกดรอยตาม

กรณีเหล่านี้แสดงให้เห็นว่า ระบบเฝ้าระวังสามารถถูกนำไปใช้เพื่อวัตถุประสงค์ส่วนตัวได้

การตรวจสอบคำกล่าวอ้างด้านความปลอดภัยและ compliance ของ Flock

  • CEO ของ Flock อ้างว่า “Flock ไม่เคยถูกแฮ็ก” แต่เป็นเช่นนั้นเพียงเพราะ ช่องโหว่ถูกค้นพบจากการรายงานก่อนที่จะถูกนำไปใช้โจมตี
  • Flock อ้างว่าปฏิบัติตาม CJIS, SOC 2/3, ISO 27001 เป็นต้น แต่ในความเป็นจริง คีย์ API แบบ Default กลับถูกฝังอยู่ในสินทรัพย์สาธารณะ 53 รายการ
  • สิ่งนี้ถูกประเมินว่าไม่ใช่แค่ความล้มเหลวเชิงกระบวนการ แต่เป็น ข้อบกพร่องด้านความปลอดภัยเชิงโครงสร้าง

ข้อเสนอแนะ

  • ประชาชน: ขอให้เปิดเผยสัญญา Flock และ log การใช้งานของรัฐบาลท้องถิ่น
  • นักข่าว: ทำการสืบสวนเพิ่มเติมโดยอิงจากหลักฐานทางเทคนิค
  • หน่วยงานบังคับใช้กฎหมาย: ตรวจสอบผลการทดสอบเจาะระบบของผู้ขายและขอบเขตการเข้าถึงข้อมูล
  • ผู้กำหนดนโยบาย: บังคับให้มีการตรวจสอบความปลอดภัยโดยอิสระและสนับสนุนการสอบสวนของ FTC

บทสรุป

  • แม้ API key จะถูกเปลี่ยนแล้ว แต่ ข้อเท็จจริงที่ว่า credential หลักสำหรับเข้าถึงโครงสร้างพื้นฐานการเฝ้าระวังระดับชาติถูกเปิดเผยถึง 53 ครั้ง ถือเป็นสัญญาณเตือนด้านความปลอดภัยที่ร้ายแรง
  • หากนักวิจัยเพียงคนเดียวสามารถได้สิทธิ์เข้าถึงในระดับนี้ ผู้ไม่หวังดีย่อมสามารถรวบรวมข้อมูลได้มากกว่านี้อย่างมาก
  • Flock Safety ไม่ได้เพียงทำคีย์รั่ว แต่ถูกประเมินว่า ได้เปิดเผยแกนกลางการทำงานของระบบเฝ้าระวังในสหรัฐฯ

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2026-01-10
ความคิดเห็นจาก Hacker News

  • ฉันไม่ได้ชอบ Flock แต่รู้สึกว่าเนื้อหาที่บทความอ้างนั้น น่าสงสัย
    ภาพหน้าจอส่วนใหญ่ดูเหมือนเป็นโค้ด JavaScript ฝั่งไคลเอนต์ ไม่ใช่การตอบกลับจาก API จริง
    ในชุมชนบั๊กบาวน์ตี การพบคีย์ Google Maps API หลุดถือเป็นกรณี ผลบวกลวง (false positive) ที่พบได้บ่อย เพราะใช้แค่สำหรับการเรียกเก็บเงินและไม่ได้ให้สิทธิ์เข้าถึงข้อมูล
    บทความก็ไม่ได้แสดงหลักฐานว่า ArcGIS ต่างออกไป

    • ความปลอดภัยของแผนที่นั้นแทบเป็นไปไม่ได้อยู่แล้ว
      ทั้งภาครัฐและงานวิศวกรรมจำเป็นต้องแชร์แผนที่กันอย่างกว้างขวาง และถ้าหาดูสักหน่อยก็เจอวิธีเข้าถึงเลเยอร์แบบเสียเงินได้ไม่ยาก
      เหตุผลที่ไม่เพิกถอนคีย์หลังโครงการจบ ก็เพราะลิงก์เดิมจะพังทั้งหมดและกระทบงานวิจัยหรือการวางแผน
      แม้นักศึกษามหาวิทยาลัยก็ยังเข้าถึงข้อมูลแผนที่หลากหลายผ่านข้อตกลงของสถาบันได้ และสุดท้ายข้อมูลเหล่านั้นก็ แทบจะเป็นสาธารณะอยู่ดี
      ในศตวรรษที่ 21 การ รักษาความเป็นส่วนตัวแทบเป็นไปไม่ได้ มากขึ้นทุกที

  • ปัญหาของ Flock ไม่ใช่ระดับความปลอดภัย แต่เป็น การมีอยู่ของพวกเขาเอง
    การติดตามตำแหน่งของใครบางคนอย่างต่อเนื่องไม่ใช่การเฝ้าระวังที่สมเหตุสมผล แต่เป็น การค้นค้นที่ไม่สมเหตุสมผล

    • ถ้ามีใครสักคนตามฉันตลอด 24 ชั่วโมง คอยถ่ายรูปและบันทึกเส้นทางการเดินทาง นั่นก็คือ การสะกดรอยตาม อย่างชัดเจน
      และสิ่งที่ Flock ทำก็ไม่ได้ต่างกันในแก่นแท้ แค่สังเกตเห็นได้ยากกว่าเท่านั้น
    • เมื่อดูจากกรณีต่าง ๆ ตลอดหลายทศวรรษที่ผ่านมา ก็ยิ่งทำให้คิดว่าเราควรมีการระบุ สิทธิความเป็นส่วนตัวในระดับรัฐธรรมนูญ ให้ชัดเจน

  • ฟีดจากกล้องสาธารณะเป็น ทรัพย์สินของสาธารณะ จึงควรถูกเปิดเผย

    • โดยเฉพาะถ้าเป็นกล้องที่ดำเนินการโดยหน่วยงานซึ่งอ้างว่าให้บริการสาธารณะ ฉันยิ่งคิดว่าเป็นเช่นนั้น
      แต่อีกด้านหนึ่งก็อดกังวลไม่ได้ว่าการเปิดเผยแบบนี้อาจลงเอยด้วยการ คราวด์ซอร์สรัฐเฝ้าระวัง
    • ระบบแบบนี้ยังเป็นฐานที่ทำให้สร้าง แอปสะกดรอยตาม ได้ง่ายขึ้นด้วย

  • ถ้าเป็นโลกที่มีเหตุมีผล เรื่องแบบนี้คงจบลงด้วยการที่บริษัทล้มละลายและ ผู้บริหารถูกจำคุก

  • มีการแชร์ วิดีโอทดลองเทคนิคเชิงปฏิปักษ์ เพื่อทำให้ระบบอ่านป้ายทะเบียนสับสน
    แต่ไม่ถูกกฎหมายในทุกพื้นที่ จึงควรตรวจสอบกฎหมายก่อน
    ลิงก์ YouTube

  • สงสัยว่ามีใครเคยทำให้เมืองของตัวเองถอดกล้อง Flock ออกได้บ้างไหม
    ในพื้นที่ของเราเพิ่งติดตั้งเมื่อราวปีกว่า ๆ และเมืองใกล้เคียงก็เริ่มใช้แทบจะพร้อมกัน

    • ฉันเป็นหนึ่งในผู้จัดตั้งชุมชนที่ ผลักดันให้ยกเลิกสัญญา Flock ได้สำเร็จ ใน Eugene และ Springfield รัฐโอเรกอน
      ตอนนี้กำลังทำงานร่วมกับเมืองแถวพอร์ตแลนด์และคณะทำงานของสภานิติบัญญัติรัฐเพื่อผลักดันกฎหมายที่เกี่ยวข้อง
      วิธีที่ Flock ชี้นำหน่วยงานตำรวจ นั้นน่าตกใจมาก
      ตัวอย่างเช่น บริษัทชื่อ Lexipol ขายเอกสารนโยบายให้ตำรวจ และในขณะเดียวกันก็ดำเนินแพลตฟอร์มชื่อ Police1
      Police1 ช่วยให้ตำรวจหาทุนสนับสนุนสำหรับค่าสมัครใช้ Flock และ Flock ก็ไปปรากฏตัวอยู่ตรงนั้นอย่างแข็งขัน
      สุดท้ายตำรวจไปซื้อนโยบายจาก Lexipol และนโยบายเหล่านั้นก็ เป็นมิตรกับ Flock มาก
      Flock ป้อนถ้อยคำประชาสัมพันธ์ชุดเดิมซ้ำ ๆ ให้ทั้งตำรวจและเจ้าหน้าที่เมือง
      Flock Safety ซึ่งมาจาก YCombinator กำลังพูด สิ่งที่ชวนให้เข้าใจผิดอย่างมาก เกี่ยวกับผลิตภัณฑ์และธุรกิจของตน
    • ที่ Redmond รัฐวอชิงตันก็มี กรณีปิดการใช้งาน Flock สำเร็จ เช่นกัน
      บทความที่เกี่ยวข้อง
    • ใน Sedona รัฐแอริโซนา, Bend รัฐโอเรกอน, Hays County และ Lockhart รัฐเท็กซัส ก็มี กรณียกเลิกหรือปฏิเสธสัญญา เช่นกัน
      กรณี Sedona, บทความ Bend, บทความ Hays County, บทความ Lockhart
      ในเมืองของเราก็กำลังทำแคมเปญอยู่ และยิ่งชื่อของ Flock เป็นที่รู้จักมากขึ้น ความเห็นสาธารณะก็ยิ่งเปลี่ยน
      การเข้าร่วมประชุมสภาเมืองด้วยตัวเองและพูดคุยกัน เป็นเรื่องสำคัญ
    • ที่ Flagstaff รัฐแอริโซนา ก็มี การยกเลิกสัญญา Flock เช่นกัน
      ลิงก์บทความ
    • หลายเมืองในโอเรกอนและวอชิงตันตัดสินใจ ไม่ต่อสัญญา Flock
      บทความที่เกี่ยวข้อง

  • ดูเหมือนเป็นผลจาก ความไร้ความสามารถ อย่างเรียบง่าย
    ตอนที่มีข้อถกเถียงเรื่องการนำ ShotSpotter มาใช้ CIO ของเมืองและผู้ตรวจสอบก็ถูกกันออกไปเช่นกัน และต้องค่อย ๆ โน้มน้าวสมาชิกสภาทีละคนเพื่อให้มีการตรวจสอบทางเทคนิค
    หวังว่าเรื่องแบบนี้จะไม่เกิดซ้ำ

    • แต่นี่ไม่ใช่ความไร้ความสามารถ แต่เป็นปัญหาเรื่อง ความไม่ใส่ใจ
      ถ้ามีความตั้งใจจะแก้จริง ป่านนี้ก็คงแก้ไปแล้ว

  • ฉันเคยพบคีย์ที่เปิดเผย ข้อมูลอ่อนไหว ในหน่วยงานสาธารณะที่มีผู้ใช้นับล้านและได้รายงานไป
    ตอนนี้เข้าใจแล้วว่าทำไมช่องโหว่แบบนี้ถึงถูกปล่อยทิ้งไว้เป็นเดือน ๆ หรือแม้แต่เป็นปี ๆ
    สาเหตุมาจาก ภาวะหมดไฟและความไม่รู้ รวมถึงวัฒนธรรมที่มองว่าการปกปิดปัญหาดีกว่าการยอมรับมัน

  • ในสหราชอาณาจักรมีพวก ‘Blade Runners’ ที่ไปรื้อกล้อง CCTV ออก เลยสงสัยว่าทำไมในสหรัฐฯ ถึงไม่มีการตอบโต้เชิงรุกแบบนี้

    • ฝ่ายต่อต้านการสอดส่องในสหรัฐฯ อ่อนแอมาก และฝ่ายที่รุกหนักกลับเป็นฝ่ายที่ต้องการสร้างระบอบเฝ้าระวัง
    • ในเมืองของฉัน กล้อง Flock บางตัวถูกปิดการทำงานเพราะ แผงโซลาร์หรือตัวเลนส์เสียหาย แต่ตามสัญญาแล้วเมืองต้องเป็นคนจ่ายค่าซ่อม
    • ความเสี่ยงทางกฎหมายสูง และค่าทนายก็แพง ทำให้ ลงมือทำได้ยาก
      แถมยังมีความเสี่ยงที่จะต้องเผชิญหน้ากับตำรวจที่ใช้ความรุนแรงด้วย
    • ถ้าเข้าไปที่หน้าเว็บไซต์ของ Flock ก็จะเห็นคำอธิบายเกี่ยวกับ ฟีเจอร์โดรน ด้วย
    • เรากำลังเผชิญกับ การเมืองแห่งความหวาดกลัว (gestapo) รูปแบบใหม่มากขึ้นเรื่อย ๆ
      เราเรียกตัวเองว่า ‘ผู้พิทักษ์เสรีภาพ’ แต่ในความเป็นจริงกลับแทบไม่ต่อต้านอะไรเลย