Хакер получил доступ к 130 терабайтам записей с видеорегистраторов Nexar в США. В том числе с секретных объектов
Он не стал их публиковать. Но к ним, вероятно, имели доступ очень многие люди и компании
Неизвестному хакеру удалось получить доступ к базе видеозаписей и GPS-данных пользователей видеорегистраторов Nexar объемом более 130 терабайт. Это стало возможным из-за уязвимости: в каждом регистраторе был встроен ключ с чрезмерными привилегиями, позволявший скачивать записи не только со своего устройства, но и с любых других.
Журналист 404media связался с хакером и получил от него подтверждения взлома. В руки хакера попали тысячи записей, в том числе из салонов машин, где люди разговаривают, звонят по телефону или укачивают детей. А также записи, сделанные рядом с штаб-квартирой ЦРУ в Лэнгли, авиабазы Уайтмен в штате Миссури, где размещены стратегические бомбардировщики B-2, и базы Оффатт в Небраске — штабом Стратегического командования США (ядерные силы). На некоторых видео видно автомобили прямо у въездов на эти объекты. В одном из роликов водитель, подъезжающий к ЦРУ, в конце снимает регистратор с панели.
Nexar, созданная израильскими предпринимателями Эраном Широм и Бруно Фернандесом-Руисом в 2015 году, позиционирует свои устройства как «виртуальные камеры наблюдения» и зарабатывает на продаже собранных данных — по заявлениям компании, исключительно анонимизированных. Nexar развивает сервисы вроде CityStream, который публикует информацию о дорожной обстановке, и Virtual Cam, позволяющий отслеживать одно и то же место в разные моменты времени. Внутренние документы показали, что к данным Nexar в разное время имели доступ десятки организаций, включая Apple, Microsoft, Google, Amazon, транспортные сервисы Lyft и Waymo, а также власти городов Лос-Анджелес и Остин. Среди упомянутых клиентов значатся и более спорные структуры — например, компания Flock Safety, сотрудничающая с американскими пограничными службами. В списке встречается и аббревиатура IDF, что может означать Армию обороны Израиля, хотя сама Nexar заявляет, что с военными не работает.
При этом многие владельцы регистраторов, опрошенные журналистами, признаются, что не знали о том, что их данные публикуются в открытом доступе, пусть и с размытыми лицами и номерами. Исследователи ранее предупреждали: даже при размывке полная анонимность не гарантируется, так как детали вроде формы одежды все равно могут выдать человека.
Сам хакер, взломавший Nexar, назвал компанию «абсолютным кошмаром в смысле приватности» и заявил, что был бы удивлен, если бы до него никто не использовал эти данные.
После того как 404media связались с Nexar по поводу взлома, компания заявила, что устранила уязвимость.
«Медуза»