Esta semana salió a la luz algo que los que trabajamos en seguridad llevábamos años sospechando: una cámara de vigilancia Flock (esas que leen patentes en la calle) fue desarmada y revertida por completo, y lo que había adentro da risa y miedo al mismo tiempo.
Lo que hicieron los hackers
Un colectivo llamado stegan0gram liberó hardware de una cámara Flock ALPR en plena calle, la desactivó y le extrajo el firmware completo. Subieron las imágenes de las particiones a DDoSecrets, y 404 Media y Wired publicaron la investigación conjunta. Después Micah Lee, que sabe mucho de esto, se puso a rascar los archivos y encontró cosas que no deberían existir en un dispositivo que espía el tránsito de una ciudad entera.
Android 8.1 y un kernel de 2017, en una cámara «moderna»
Lo primero: la cámara corre Android 8.1, una versión que Google dejó de patchear en 2021. Pero no es que estuviera al día hasta ese año: el nivel de parches de seguridad dice 2018-06-05. La imagen del sistema fue compilada en junio de 2025 con un sistema operativo ocho años sin actualizaciones. El kernel de Linux es un 3.18.71, de 2017, y ni siquiera alcanzó la última versión de esa serie: le faltan 69 releases. O sea, construyeron hardware nuevo sobre un sofá viejo.
Con ese nivel de parches, la cámara es probablemente vulnerable a CVEs conocidas hace años: una use-after-free en el driver de GPU Adreno (CVE-2021-1905) que permite corromper la memoria del kernel desde cualquier app sin privilegios, o el clásico WrongZone (CVE-2018-9568), una confusión de tipos en sockets IPv6 con exploit público desde diciembre de 2018. Cualquier proceso en la cámara podría llegar a root.
La API key hardcodeada, la cereza del pastel
Pero lo que a mí me pareció la wea más grotesca es esto: de las 20 apps Flock que trae el firmware, 19 comparten una misma librería con un método que devuelve la API key de producción escrita directamente en el código. Con esa key, cualquier cámara pide credenciales al backend de Flock entregando su dirección MAC, recibe un client ID y client secret de Auth0, y los guarda en texto plano en una partición sin cifrar que además sobrevive a un factory reset.
Si encuentras la cámara en la calle, anotas la MAC, y tienes credenciales para hacerse pasar por ese dispositivo frente a los servidores de Flock. Para rematar, el «contenedor cifrado» de los logs tiene la llave en un archivo al lado, en la misma partición. Eso no es cifrado, es decoración.
La respuesta de Flock: manual corporativo
Flock respondió con el clásico: «tenemos una política de divulgación de vulnerabilidades y nadie nos reportó nada por ahí». Si tu firmware filtra la llave maestra de tu infraestructura, no esperes que el investigador haga el trabajo de tu equipo de seguridad. Micah ni siquiera probó las credenciales porque conectarlas sería ilegal — otro detalle a favor del que encontró el agujero.
Lo que me deja pensando
Trabajo como tech en sistemas industriales y esto me suena harto. El patrón es siempre el mismo: un dispositivo «instalar y olvidar», desplegado en miles de puntos, con firmware que nunca se va a actualizar y una cadena de confianza basada en secretos pegados en el binario. En la pega he visto hardware de campo con la misma filosofía y la misma caca: mientras funcione, nadie lo toca.
La lección para cualquiera que despliegue dispositivos en la calle, en una faena o en el techo de un cliente: el hardware que no puede patchearse es una deuda de seguridad que alguien va a cobrar. Si tu threat model incluye gente con soldador y mucho tiempo libre (y en este caso lo era, literalmente liberaron la cámara del poste), el firmware hardcodeado no es una optimización, es una sentencia.
Y ojo con el contexto: Flock es la empresa que le vende a policías y municipios una red de reconocimiento de patentes. Cuando ese tipo de infraestructura de vigilancia masiva tiene la seguridad de una cámara IP barata de feria, el problema no es solo técnico. Es que nadie con poder de decisión le importa.
Fuente de inspiración: Flock cameras are riddled with security vulnerabilities and hard-coded credentials
