Bản đồ tiết lộ mạng lưới 300.000 thiết bị giám sát Flock trên khắp nước Mỹ

Giữa những lo ngại ngày càng tăng về mạng lưới camera giám sát rộng khắp của mình, Flock Security đã thông báo với báo chí vào mùa hè này rằng họ đang vận hành hơn 120.000 camera trên toàn quốc.

Tuy nhiên, một bản đồ mới được một nhà nghiên cứu an ninh mạng công bố hôm thứ Tư cho thấy phạm vi phủ sóng trên toàn quốc của Flock còn lớn hơn thế. Dựa trên tọa độ vị trí từ chính cơ sở dữ liệu của Flock, bản đồ hiển thị hơn 170.000 camera, cùng với hơn 130.000 thiết bị đi kèm đóng vai trò trong mạng lưới giám sát mở rộng của công ty tại Mỹ.

Bản đồ Giám sát Flock của Joshua Michael làm nổi bật vị trí của những gì ông cho là 300.000 thiết bị giám sát của Flock trải khắp cả nước. Những phát hiện của ông — vốn được trích dẫn trong phiên điều trần của Tiểu ban Thượng viện về Tội phạm và Chống khủng bố hôm thứ Tư về Flock — khác biệt về phạm vi và phương pháp luận so với các bản đồ hiện có về hệ thống đọc biển số xe tự động của Flock.

Không giống như các dự án cộng đồng như DeFlock, vốn được xây dựng dựa trên các vị trí do người dùng gửi, Bản đồ Giám sát Flock dựa vào dữ liệu vị trí được thu thập từ một bản chụp nhanh các hồ sơ của chính Flock, được Michael lưu trữ vào tháng 12 năm 2025. Ngoài camera, bản đồ này còn hiển thị các thiết bị bổ sung — bao gồm 27.000 thiết bị phát hiện âm thanh, cũng như các thiết bị mạng tích hợp camera của bên thứ ba — để minh họa quy mô mạng lưới giám sát của Flock.

“Những chiếc camera này tạo thành một mạng lưới giám sát toàn quốc theo dõi mọi người lái xe đi đâu,” Michael nói với The Intercept, “vì vậy các quốc gia nước ngoài không cần phải cử gián điệp đến để gây hại cho đất nước chúng ta. Họ chỉ cần quan sát xem binh lính, đặc vụ liên bang và các chính trị gia của chúng ta đi đâu.”

The Intercept đã ghé thăm sáu địa điểm ngẫu nhiên ở Arizona trên bản đồ của Michael; mỗi địa điểm đều có camera Flock tại tọa độ được chỉ định.

Bản đồ Giám sát Flock cũng mã hóa màu cho từng thiết bị Flock theo kiểu máy — ví dụ, cho biết thiết bị đó là camera Flock, được gọi là Falcon, hay một bộ xử lý đi kèm được gọi là Picard. (Flock đã không phản hồi ngay lập tức yêu cầu bình luận.)

Bảng dữ liệu có thể tìm kiếm đi kèm cũng liệt kê tên riêng của từng camera, như được nêu trong cơ sở dữ liệu của Flock, thường bao gồm địa chỉ đường phố và đôi khi là các đặc điểm nhận dạng khác. Ví dụ, một camera có tên “FBI Pilot Camera” được hiển thị nằm tại Tòa nhà J. Edgar Hoover — trụ sở FBI ở Washington.

Bản đồ minh họa sự lan rộng trên toàn quốc của Flock, nhưng cũng cho thấy sự tập trung của chúng ở một số khu vực nhất định. Ví dụ, 860 thiết bị Flock dường như tập trung ngay bên ngoài Sân bay Quốc tế Chicago O’Hare, tại Sở An toàn Công cộng Rosemont, nơi cung cấp dịch vụ cảnh sát, cứu hỏa và y tế khẩn cấp ở vùng ngoại ô Chicago.

Nhiều camera Flock dường như được lắp đặt bên trong các trung tâm giam giữ. Một camera có tiêu đề “C-F-23 FOXTROT MALE HOLDING 2/SHOWERS” xuất hiện tại tọa độ của Trung tâm Giam giữ Silverdale ở Chattanooga, Tennessee.

Vào tháng 11 năm 2025, Michael đã phát hiện ra một cách mới để xác định vị trí các thiết bị của Flock. Khi rà soát trang web của công ty, ông nhận ra rằng các máy chủ của Flock đang công khai làm rò rỉ dữ liệu dưới dạng một mã truy cập (access token) có thể lấy được mà không cần đăng nhập. Với mã đó, Michael cho biết ông có thể truy vấn ArcGIS, một nền tảng hệ thống thông tin địa lý của bên thứ ba được Flock sử dụng, để truy xuất vị trí của các thiết bị Flock.

Michael nói với The Intercept rằng ông đã nhanh chóng liên hệ với Flock và mô tả những phát hiện của mình. Như Michael đã viết trong email đầu tiên gửi cho Flock vào ngày 13 tháng 11 năm 2025: “tất cả các thử nghiệm đều hoàn toàn không xâm lấn, giới hạn ở các điểm cuối mở không cần xác thực và không liên quan đến việc bỏ qua xác thực, sửa đổi dữ liệu hoặc gọi bất kỳ hoạt động tính phí nào của ArcGIS hoặc Google.” Michael cho biết ông không nhận được phản hồi, vì vậy ông đã liên hệ lại với Flock vào ngày hôm sau và lần thứ ba sau đó vài ngày.

Sau lần cố gắng thứ ba để thông báo cho Flock về lỗ hổng được phát hiện, Michael đã nhận được phản hồi từ Flock với nội dung: “Cảm ơn bạn về những phát hiện này. Chúng tôi đang phân loại nội bộ và sẽ sớm liên hệ lại với các bước tiếp theo.”

Michael cho biết ông không bao giờ nhận được phản hồi nào thêm từ Flock về vấn đề này.

Vào tháng 12 năm 2025, Michael đã tải xuống dữ liệu vị trí thiết bị của Flock và vào tháng 1 đã viết một bài đăng blog kỹ thuật chuyên sâu về những gì ông tìm thấy. Sau bài đăng của Michael, có vẻ như Flock đã khắc phục lỗ hổng này.

Mặc dù đã được cảnh báo về những phát hiện của Michael vào tháng 11 năm 2025, Flock đã xuất bản bài đăng blog của riêng mình vào tháng 1 năm sau, khẳng định rằng họ không có bất kỳ vụ vi phạm dữ liệu nào. “Flock chưa bao giờ bị hack và không có sự rò rỉ thông tin nào của Flock,” công ty tuyên bố. “Nền tảng đám mây của Flock Safety chưa bao giờ gặp phải sự cố vi phạm dữ liệu.”

Công ty khởi nghiệp có trụ sở tại Atlanta này đã phải đối mặt với sự chỉ trích ngày càng tăng về các hoạt động và sự thiếu minh bạch trong những tháng gần đây. Một báo cáo của Liên đoàn Tự do Dân sự Mỹ (ACLU) đã tìm thấy “một mô hình mà Flock thường xuyên gây hiểu lầm hoặc thậm chí nói dối về các hoạt động kinh doanh, hồ sơ an toàn, cam kết về quyền riêng tư và những nỗ lực bảo vệ các nhóm dân cư dễ bị tổn thương.”

Michael nói với The Intercept rằng những tuyên bố gần đây của Flock về hồ sơ bảo mật dữ liệu của họ không phản ánh thực tế. Flock đã công khai tuyên bố nhiều lần rằng công ty chưa bao giờ gặp phải sự cố vi phạm dữ liệu, “và điều này xảy ra sau khi tôi đã lấy được cơ sở dữ liệu thiết bị của họ.”

“Điều đó để lại hai khả năng,” ông nói. “Hoặc là họ biết và chọn không tiết lộ vì sợ báo chí tiêu cực, hoặc họ hoàn toàn không biết tôi đã trích xuất dữ liệu. Điều đầu tiên là sự thất bại về tính minh bạch. Điều thứ hai là sự thất bại về khả năng phát hiện với những tác động đến an ninh quốc gia.”

Vào thứ Năm, Michael được thông báo rằng Doppel, công ty tự mô tả là “nền tảng phòng thủ kỹ thuật xã hội dựa trên AI,” đã đệ đơn khiếu nại vi phạm nhãn hiệu liên quan đến trang web của ông, tuyên bố đang làm việc thay mặt cho Flock. Doppel cho biết trang web đang sử dụng nhãn hiệu “FLOCK SAFETY” mà không được phép, điều này “có thể gây nhầm lẫn/tác hại cho khách hàng.” Doppel yêu cầu trang web phải bị gỡ bỏ.

Khi đăng Bản đồ Giám sát Flock, Michael đã bao gồm một tuyên bố từ chối trách nhiệm dạng cửa sổ bật lên (pop-up) nói rằng trang web “không liên kết hoặc được xác nhận bởi Flock.”