Por Canuto  

Un investigador afirma que una falla sin autenticación le permitió consultar datos de ubicación de dispositivos de Flock y elaborar un mapa con más de 170.000 cámaras y alrededor de 130.000 equipos complementarios. Ahora la empresa busca retirar el sitio por un presunto uso no autorizado de su marca, mientras siguen abiertas preguntas sobre la exposición de información y los riesgos de vigilancia.
***

  • Joshua Michael dijo que detectó una falla que permitía obtener un token de acceso sin credenciales y que notificó a Flock en noviembre de 2025.
  • El mapa identifica más de 170.000 cámaras y alrededor de 130.000 dispositivos complementarios; Flock sostiene que su plataforma no ha sufrido una filtración de datos.
  • La empresa pidió retirar el sitio mediante una queja de marca registrada, mientras el investigador advirtió sobre posibles riesgos cerca de sitios sensibles.

Una vulnerabilidad en un servicio cartográfico utilizado por Flock habría permitido consultar ubicaciones de sus dispositivos sin iniciar sesión. El mapa resultante y la disputa por el uso de la marca abren nuevas preguntas sobre transparencia, privacidad y seguridad.

Una falla dio acceso a datos de ubicación

Joshua Michael, investigador de seguridad, dijo que encontró una vulnerabilidad que le entregó un token de acceso sin pedirle credenciales de inicio de sesión. Con ese acceso, pudo consultar información en ArcGIS, el sistema cartográfico y geoespacial de terceros que utiliza la compañía, y recuperar datos de dispositivos Flock en noviembre de 2025. La falla, según el relato publicado por Tom’s Hardware, no requería que el investigador iniciara sesión.

Michael aseguró que notificó a la empresa el 13 de noviembre de 2025 y describió sus pruebas como estrictamente no intrusivas. En su correo afirmó que se limitó a endpoints abiertos sin autenticación, sin eludir controles de acceso, modificar datos ni ejecutar operaciones facturables de ArcGIS o Google. La precisión importa: su explicación presenta la consulta como una comprobación de información accesible, no como una alteración de los sistemas de la compañía.

La respuesta de Flock, según el investigador, llegó después de dos intentos adicionales de contacto. Un representante agradeció el aviso, dijo que la empresa evaluaba internamente los hallazgos y prometió comunicarse con los siguientes pasos, pero Michael sostiene que no recibió una respuesta posterior. El investigador indicó que la compañía corrigió la vulnerabilidad en enero, después de que él comunicara sus hallazgos, aunque para entonces ya había obtenido los datos de ubicación que utilizó en su proyecto.

Con esa información, Michael creó el sitio Flock Surveillance Map. Un reportaje de The Intercept describió el mapa como una base con más de 170.000 cámaras y más de 130.000 dispositivos complementarios, para un total aproximado de 300.000 equipos. Por tanto, el total no corresponde a 335.701 cámaras: el mapa incluye también otros dispositivos vinculados a la red. Según el reportaje, los datos proceden de la base de Flock. El proyecto convierte esa información en una representación pública de la extensión de la infraestructura y, sostiene Michael, permite observar su cercanía a comunidades y lugares sensibles.

La empresa cuestiona la publicación del mapa

Flock sostiene que nunca ha sido pirateada, que su información no se ha filtrado y que su plataforma en la nube nunca ha experimentado una violación de datos. Michael discute esa caracterización y declaró a The Intercept que la afirmación se hizo después de que él obtuviera los datos de dispositivos. La diferencia entre ambas versiones es central: la compañía habla de una violación de su plataforma, mientras el investigador describe el acceso a información consultable mediante el sistema cartográfico que utiliza Flock.

Michael planteó dos explicaciones posibles para la declaración pública de la empresa: que conociera la extracción y optara por no divulgarla, o que no supiera que había ocurrido. En el primer escenario, dijo, habría una falla de transparencia; en el segundo, una falla de detección con implicaciones de seguridad nacional. Son alternativas expuestas por el investigador, no hechos confirmados de manera independiente en el material disponible, pero ilustran por qué la falta de una respuesta de seguimiento puede aumentar las dudas sobre la gestión del incidente.

La compañía no comentó el reportaje de The Intercept antes de su publicación, según la información citada por Tom’s Hardware. Sin embargo, Michael dijo que recibió una queja por infracción de marca registrada relacionada con su sitio web. Doppel, firma de ciberseguridad enfocada en la defensa contra la ingeniería social, se comunicó en nombre de Flock y alegó que el mapa usaba sin autorización la marca “FLOCK SAFETY” y que podía confundir a los clientes.

La solicitud de retirar el sitio desplaza parte de la discusión hacia el uso de una marca comercial, aunque no resuelve por sí misma las preguntas sobre el acceso a los datos ni sobre la respuesta de seguridad. El mapa, de acuerdo con el artículo, incluye una ventana emergente que aclara que no pretende confundirse con el servicio oficial. Esa advertencia no elimina la disputa planteada por la empresa, pero sí muestra que el investigador intentó distinguir su proyecto de la plataforma de Flock.

El alcance de la red y sus riesgos de privacidad

El número de equipos que aparecen en el mapa también contrasta con las cifras atribuidas a la compañía. Según The Hill, Flock dice tener cerca de 100.000 cámaras en más de 6.000 comunidades de 49 estados. Las cifras no son directamente equivalentes: el mapa incluye dispositivos complementarios y las fuentes no detallan aquí métodos de recuento comparables.

El episodio se suma a otras preocupaciones sobre la protección de los dispositivos de Flock. Tom’s Hardware recordó que investigadores habían señalado que algunas cámaras almacenaban claves de cifrado directamente en el dispositivo, en texto plano, una práctica que habría permitido extraer más de 27.000 clips almacenados. También informaron que las cámaras tomaron más de 1,6 millones de imágenes durante un periodo de 21 días, cifras que aumentan la relevancia de las medidas de seguridad aplicadas tanto al equipo como a la plataforma.

La dimensión de privacidad no se limita a la posibilidad de que un tercero consulte ubicaciones. La información sobre cámaras desplegadas puede ayudar a entender por dónde transitan vehículos y personas, mientras que los registros capturados plantean preguntas sobre quién puede consultarlos y con qué propósito. El material también recoge antecedentes de uso indebido: agentes policiales habrían empleado el sistema para acosar a parejas románticas, según casos reportados, aunque esos episodios son distintos de la vulnerabilidad descrita por Michael.

Otros incidentes citados muestran cómo los errores de sistemas conectados a cámaras pueden repercutir en personas concretas. Un reseñador de automóviles fue detenido durante una hora en un estacionamiento después de que un informe policial con un error de escritura lo señalara, de acuerdo con el artículo. Ese caso no prueba que el mapa haya causado una detención ni que la falla de acceso haya producido un daño individual, pero ayuda a entender por qué los controles de precisión y el uso responsable importan cuando las alertas tecnológicas se incorporan a actuaciones policiales.

Michael advirtió además que la concentración de cámaras cerca de instalaciones sensibles podría facilitar el seguimiento de personas que trabajan en el sector de defensa. Señaló 22 lugares, entre ellos la Base de la Fuerza Aérea Eglin, las sedes de la CIA y el FBI, la Base Conjunta Andrews y el Pentágono. Según sus cálculos, quienes viven a menos de 20 millas de esos sitios tendrían entre 57,22% y 93,94% de probabilidad de pasar frente a una cámara de Flock y quedar registrados en el sistema; son estimaciones atribuidas al investigador, no mediciones verificadas de forma independiente en el artículo.

Una controversia aún sin respuestas públicas

El caso reúne tres debates que conviene distinguir: si el sistema expuso información por una falla sin autenticación, si Flock detectó y comunicó adecuadamente el incidente y si el mapa infringe una marca registrada. La queja empresarial se concentra en el último punto, mientras Michael insiste en el acceso a los datos y en la falta de seguimiento tras su aviso. Hasta ahora, la información presentada no resuelve de forma concluyente las diferencias entre el relato del investigador y la posición general de la compañía sobre la seguridad de su plataforma.

La afirmación de Flock de que no sufrió una violación de datos puede coexistir con una discusión sobre si determinados datos quedaron accesibles a través de un servicio externo o de un endpoint sin autenticación, pero esa distinción requiere explicaciones técnicas y una descripción clara del alcance. Michael asegura que consultó ArcGIS y que obtuvo datos de ubicación; la compañía, por su parte, mantiene que su plataforma en la nube nunca experimentó una filtración. Sin detalles adicionales, no corresponde convertir ninguna de esas versiones en una conclusión definitiva sobre todos los sistemas involucrados.

También queda por esclarecer qué ocurrirá con el mapa y con la queja presentada en nombre de Flock. La solicitud de retirada no equivale por sí sola a una decisión judicial ni confirma que el sitio haya sido eliminado, y el material no informa de una resolución posterior. Mientras tanto, la publicación mantiene visible la magnitud que Michael atribuye a la red y sitúa la disputa entre los límites de una marca comercial y el interés público en conocer la expansión de herramientas de vigilancia.

Para las organizaciones que gestionan cámaras conectadas, el episodio subraya la importancia de revisar los accesos, responder a reportes de vulnerabilidades y explicar con claridad qué datos quedaron expuestos, durante cuánto tiempo y con qué posibles consecuencias. En este caso, el investigador dice haber informado a Flock en noviembre, la empresa habría corregido la falla en enero y el mapa incluye más de 170.000 cámaras junto con alrededor de 130.000 dispositivos complementarios, según The Intercept. Las respuestas pendientes determinarán cuánto puede saberse sobre la exposición y la supervisión de esa infraestructura.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados