Flock bị yêu cầu gỡ bỏ bản đồ giám sát chi tiết nhất về mạng lưới camera khổng lồ

Một nhà nghiên cứu an ninh mạng vừa công bố bản đồ chi tiết nhất từ trước đến nay về mạng lưới camera giám sát của Flock Safety, hé lộ quy mô thực sự của hệ thống này lớn hơn nhiều so với những gì công ty thừa nhận. Động thái này đang làm dấy lên làn sóng lo ngại mới về quyền riêng tư và tính minh bạch của các hệ thống giám sát tự động tại Mỹ.

Camera Flock được lắp đặt tại Tucson, Arizona

Quy mô thực sự lớn hơn nhiều so với tuyên bố

Trong mùa hè năm nay, Flock Safety từng tuyên bố với báo giới rằng họ vận hành hơn 120.000 camera trên toàn nước Mỹ. Tuy nhiên, bản đồ mới do nhà nghiên cứu an ninh mạng Joshua Michael công bố hôm thứ Tư cho thấy con số thực tế lên tới hơn 170.000 camera, cộng thêm hơn 130.000 thiết bị phụ trợ khác tham gia vào mạng lưới giám sát này.

Tổng cộng, bản đồ của Michael đánh dấu vị trí của khoảng 300.000 thiết bị giám sát Flock trải rộng khắp nước Mỹ. Những phát hiện này đã được trích dẫn trong phiên điều trần của Tiểu ban Thượng viện về Tội phạm và Chống khủng bố diễn ra cùng ngày.

Khác với các dự án cộng đồng như DeFlock — vốn dựa trên dữ liệu do người dùng tự gửi lên — bản đồ của Michael được xây dựng từ chính cơ sở dữ liệu của Flock. Cụ thể, ông đã lưu trữ một bản chụp dữ liệu vào tháng 12 năm 2025 và sử dụng tọa độ vị trí từ đó để dựng bản đồ.

Ngoài camera, bản đồ còn ghi lại các thiết bị bổ trợ, bao gồm 27.000 thiết bị phát hiện âm thanh cùng thiết bị mạng dùng để tích hợp camera của bên thứ ba, nhằm minh họa đầy đủ quy mô của mạng lưới giám sát.

"Những camera này tạo thành một mạng lưới giám sát toàn quốc theo dõi nơi mọi người lái xe. Các quốc gia nước ngoài không cần cử gián điệp đến để gây hại cho đất nước chúng ta. Họ chỉ cần theo dõi nơi binh lính, đặc vụ liên bang và các chính trị gia của chúng ta đi tới" — Joshua Michael chia sẻ với The Intercept.

Chi tiết đáng chú ý trên bản đồ

Bản đồ giám sát của Michael mã hóa màu sắc cho từng thiết bị Flock theo model, chẳng hạn phân biệt giữa camera Falcon và bộ xử lý Picard đi kèm. Bảng dữ liệu tìm kiếm kèm theo còn liệt kê tên riêng của từng camera như được ghi trong cơ sở dữ liệu Flock, thường bao gồm địa chỉ đường phố và đôi khi cả các đặc điểm nhận dạng khác.

Đáng chú ý, một camera có tên "FBI Pilot Camera" được xác định nằm tại tòa nhà J. Edgar Hoover — trụ sở FBI ở Washington. Bản đồ cũng cho thấy sự tập trung dày đặc ở một số khu vực: khoảng 860 thiết bị Flock xuất hiện quanh sân bay quốc tế Chicago O'Hare, tại Sở An toàn Công cộng Rosemont.

Nhiều camera Flock còn được lắp đặt bên trong các trung tâm giam giữ. Một camera mang tên "C-F-23 FOXTROT MALE HOLDING 2/SHOWERS" xuất hiện tại tọa độ của Trung tâm Giam giữ Silverdale ở Chattanooga, Tennessee.

Lỗ hổng bảo mật và những tuyên bố mâu thuẫn

Vào tháng 11 năm 2025, Michael phát hiện ra một cách thức mới để xác định vị trí các thiết bị Flock. Khi khảo sát website công ty, ông nhận ra máy chủ của Flock đang rò rỉ dữ liệu công khai dưới dạng một access token có thể lấy được mà không cần đăng nhập. Với token này, ông có thể truy vấn ArcGIS — nền tảng hệ thống thông tin địa lý bên thứ ba mà Flock sử dụng — để lấy vị trí các thiết bị.

Bản đồ hiển thị mạng lưới thiết bị giám sát của Flock

Michael cho biết ông đã liên hệ ngay với Flock để mô tả phát hiện của mình. Trong email đầu tiên gửi ngày 13 tháng 11 năm 2025, ông nhấn mạnh: "toàn bộ quá trình thử nghiệm đều hoàn toàn không xâm nhập, chỉ giới hạn ở các endpoint mở không cần xác thực, và không liên quan đến việc vượt qua xác thực, sửa đổi dữ liệu hay gọi bất kỳ thao tác tính phí nào của ArcGIS hoặc Google."

Sau ba lần liên hệ, Michael mới nhận được phản hồi từ Flock với nội dung: "Cảm ơn vì những phát hiện. Chúng tôi đang phân loại nội bộ và sẽ liên hệ lại với các bước tiếp theo sớm." Tuy nhiên, ông cho biết không bao giờ nhận được phản hồi tiếp theo.

Đến tháng 12 năm 2025, Michael tải xuống dữ liệu vị trí thiết bị Flock và tháng 1 năm sau đăng bài blog kỹ thuật chi tiết về những gì mình tìm thấy. Sau đó, dường như Flock đã vá lỗ hổng này.

Đáng chú ý, dù đã được cảnh báo từ tháng 11 năm 2025, Flock vẫn công bố bài blog riêng vào tháng 1 năm sau khẳng định công ty chưa từng bị tấn công: "Flock chưa bao giờ bị hack, và không có rò rỉ thông tin Flock nào. Nền tảng đám mây của Flock Safety chưa từng trải qua sự cố rò rỉ dữ liệu."

"Điều đó để lại hai khả năng. Hoặc họ biết và chọn không tiết lộ vì sợ dư luận xấu, hoặc họ hoàn toàn không biết tôi đã trích xuất dữ liệu. Khả năng đầu là thất bại về tính minh bạch. Khả năng thứ hai là thất bại trong phát hiện, với hệ lụy về an ninh quốc gia" — Michael phân tích.

Áp lực ngày càng tăng đối với Flock

Startup có trụ sở tại Atlanta này đang đối mặt với làn sóng chỉ trích ngày càng lớn trong những tháng gần đây về các hoạt động và sự thiếu minh bạch. Một báo cáo của Liên minh Tự do Dân sự Mỹ (ACLU) đã phát hiện "một mô thức Flock thường xuyên gây hiểu nhầm hoặc thậm chí nói dối về hoạt động kinh doanh, hồ sơ an toàn, cam kết bảo vệ quyền riêng tư và nỗ lực bảo vệ các nhóm dân cư dễ bị tổn thương."

Mới đây, Michael được thông báo rằng Doppel — công ty tự mô tả là "nền tảng phòng chống kỹ thuật xã hội gốc AI" — đã nộp đơn khiếu nại vi phạm thương hiệu liên quan đến website của ông, với tuyên bố đang làm việc thay mặt cho Flock. Doppel cáo buộc site sử dụng thương hiệu "FLOCK SAFETY" mà không được phép, có thể "gây nhầm lẫn hoặc thiệt hại cho khách hàng" và yêu cầu gỡ bỏ website.

Trong bản đồ giám sát của mình, Michael đã kèm theo một tuyên bố miễn trừ trách nhiệm hiển thị dạng pop-up khẳng định trang web "không liên kết cũng không được Flock chứng thực."

Góc nhìn cho độc giả Việt Nam

Câu chuyện về Flock Safety là lời cảnh báo đáng suy ngẫm khi các thành phố trên thế giới, bao gồm cả Việt Nam, đang đẩy mạnh triển khai camera an ninh thông minh kết hợp AI nhận diện biển số và khuôn mặt. Một hệ thống giám sát tự động có thể mang lại hiệu quả trong việc xử lý vi phạm giao thông và truy vết tội phạm, nhưng cũng đặt ra những câu hỏi hóc búa về giới hạn quyền riêng tư, khả năng rò rỉ dữ liệu và trách nhiệm giải trình của nhà cung cấp.

Thiết bị giám sát tự động của Flock

Trường hợp này cũng cho thấy một bài học quan trọng về bảo mật theo thiết kế: một access token bị rò rỉ công khai đủ để phơi bày toàn bộ bản đồ hạ tầng giám sát quốc gia. Khi Việt Nam đang từng bước số hóa hạ tầng đô thị thông minh, việc kiểm thử bảo mật độc lập, cơ chế công bố lỗ hổng minh bạch và quy định rõ ràng về dữ liệu vị trí trở nên cấp thiết hơn bao giờ hết.