해커들이 Flock 카메라 소프트웨어를 탈취했다 — 차량과 사람을 추적하는 방식이 드러나다

본문

미국 전역에 설치된 Flock Safety의 자동 번호판 인식(ALPR) 카메라는 그동안 '온디바이스 암호화로 보호된다'고 알려져 왔습니다. 그런데 stegan0gram이라는 이름의 해커 그룹이 도로 위에 매달린 카메라 한 대를 물리적으로 떼어내 저장소를 통째로 덤프하고, 디바이스 내부에 있던 암호화 키를 복구해 수천 건의 차량 감지 영상을 복호화했습니다. 이들은 자료를 404 Media와 투명성 비영리단체 Distributed Denial of Secrets에 넘겼고, 이 데이터가 WIRED와의 공동 조사로 이어졌습니다. 해커들은 '우리를 감시하는 자들의 비밀을 파헤치기 위해 역공학을 택했다'며, 다른 사람들도 따라 할 수 있도록 탈취 방법을 공개하겠다고 밝혔습니다.

디바이스 내부 구조와 복호화 경로

카메라는 중급 스마트폰 수준의 프로세서를 탑재하고 Android 기반으로 동작하며, 모션 감지, 촬영, 객체 분류, 업로드, 원격 업데이트를 담당하는 약 20개의 Flock 자체 앱이 올라가 있습니다. 해커들은 Android 시스템에 접근한 뒤 파티션을 조사했는데, 'vendor'와 'media' 파티션이 비암호화 상태였고, 이 중 media 파티션에 있던 암호화 키로 영상·스틸 이미지가 저장된 다른 파티션을 열 수 있었습니다. 2025년 초 보안 연구자 Jon 'GainSec' Gaines가 Flock 카메라의 루트 접근 취약점을 공개했을 때 회사는 '물리적 접근이 필요하고 영상은 클라우드 전송 후 곧 삭제된다'며 심각성을 낮췄는데, 이번 분석은 그 해명과 배치되는 결과를 보여줍니다. 가장 민감한 저장소 일부는 여전히 암호화된 채 접근 불가였습니다.

카메라가 실제로 보는 것

코드 분석에 따르면 물체가 화면에 들어오면 카메라가 고속 연사를 시작하고, 일반적인 차량 한 대당 약 28장, 많게는 100장 이상의 이미지를 생성합니다. 번호판용과 전체 장면용으로 노출을 달리해 촬영한 뒤 프레임을 선택·크롭해 셀룰러 네트워크로 Flock 서버에 전송하며, 번호판 판독과 차종·색상 식별은 디바이스가 아니라 서버 측에서 이뤄지는 것으로 보입니다. 복구된 로그 기준 약 21일간 50,200대의 차량을 촬영해 약 160만 장의 이미지를 만들었고, 하루 평균 약 3,300대, 최대 4,454대를 기록했습니다. 특히 주목할 점은 온디바이스 소프트웨어가 차량·번호판·자전거뿐 아니라 사람도 명시적으로 감지하며, 위치와 신뢰도 점수를 기록한다는 사실입니다. WIRED가 추출한 모델을 테스트 이미지와 카메라에 저장된 27,321개의 짧은 mp4 클립(1~2초, 1024×768, 무음)에 돌려본 결과 11개 클립에서 사람이 검출됐는데 모두 오토바이 운전자였고, 이는 카메라가 도로를 아래로 향해 보행자가 적게 잡히는 위치 때문으로 추정됩니다. 번호판 검출기는 범퍼 스티커, 딜러십 프레임, 심지어 오토바이 새들백의 성조기 패치까지 번호판으로 오인해 크롭하는 사례도 보였습니다. 얼굴 인식 기능은 Android 기본 제공분 외에는 발견되지 않았고 활성화 흔적도 없었습니다.

시스템의 다른 끝: 검색 네트워크

카메라가 만든 타임스탬프 기록은 해당 지역 기관뿐 아니라 Flock의 전국 네트워크에 참여하는 다른 경찰서까지 검색할 수 있습니다. WIRED는 조지아주 Alpharetta의 카메라 기록이 경찰·대학·공항·연방 GSA 감찰관실까지 2,000여 개 기관에 열려 있었다고 보도했고, 404 Media는 지방 경찰이 ICE를 대신해 조회하거나 텍사스 경찰이 자가 임신중절 여성을 전국 단위로 검색한 사례를 폭로한 바 있습니다. 지난 8월에는 Flock의 경찰용 프런트엔드 소프트웨어 OS Investigate(구 Nightshift)의 코드가 유출돼, 함께 다니는 차량 추적이나 이동 패턴 기반 인물 검색 같은 분석 기능이 드러나기도 했습니다.

로그 속 소소한 발견과 후폭풍

로그에는 27,000건 이상의 'no space left on device' 오류와 수만 건의 크래시·재부팅이 기록돼 저장소 관리가 허술했음을 보여줍니다. 반면 2분 간격의 헬스체크 코드는 'Who's a good boy?!'라는 메시지를 12,000번 넘게 남겼고, 재부팅 서비스는 '¡Adios Amigos!'로 작별 인사를 했습니다. Flock 측은 '카메라의 무단 제거와 변조는 불법'이라며, 취약점 보고 정책을 통해 제보받은 바 없으니 정식 절차로 제출해달라고 답했습니다. 한편 미국 전역에서는 Flock 카메라 파괴 시도로 여러 명이 체포됐고, 일부 지자체는 도입을 철회했으며, 한 경찰서는 3D 프린팅한 가짜 카메라로 파괴자를 유인하기도 했습니다. Flock 비판론자인 전직 경찰 Noel Pichardo는 이런 자경 행위가 오히려 감시 도구의 필요성을 주장하는 쪽에 명분을 줄 수 있다고 우려했습니다.

Reddit 반응

• @M-S-S — '가장 민감한 저장소는 여전히 암호화된 채'라는 구절을 인용하며, 아직 밝혀지지 않은 부분이 훨씬 많다고 지적했습니다.
• @EnigmaFilms — 반()Flock 운동은 좋지만 특정 브랜드가 아니라 프라이버시라는 핵심 문제에 집중하지 않으면 오래가지 못할 것이라고 비판했습니다.
• @SaviorSixtySix — CEO가 사람 추적 기능은 없고 번호판만 읽는다고 했던 발언을 빗대어 풍자했습니다.
• @404mediaco — 404 Media가 직접 기사 요지를 올려 카메라 탈취부터 암호화 키 복구, 공동 조사까지의 경위를 전했습니다.
• @OpLeeftijd — Flock 카메라 안에 얼마나 많은 백금이 들어 있는지 사람들이 알게 되면 어떨지 비꼬았습니다.

원문: 404 Media / 번역·요약: Trawling