Ce que les caméras Flock apprennent à chaque entreprise sur les données et la confiance

Vous les avez déjà vues. Une petite caméra noire fixée sur un poteau près d'un carrefour, surmontée d'un panneau solaire, se fondant discrètement dans le paysage. Ce sont des caméras Flock Safety, et plus de 100 000 de ces lecteurs de plaques d'immatriculation sont actuellement en service aux États-Unis, enregistrant en continu les informations relatives aux véhicules. CyberHoot a analysé un article de ZDNet détaillant cette explosion du nombre de caméras Flock Safety.

Cette histoire dépasse largement le cadre des caméras de circulation. Elle recèle une leçon dont chaque chef d'entreprise peut tirer profit. Les objets connectés collectent bien plus de données qu'on ne le pense, et la manière dont une entreprise stocke, partage et sécurise ces données détermine qui est protégé et qui risque d'être exposé.

Ce que les caméras enregistrent

Les caméras de surveillance de véhicules, également appelées lecteurs de plaques d'immatriculation, sont conçues pour photographier et enregistrer les plaques des véhicules au passage des voitures. Elles enregistrent bien plus qu'un simple numéro de plaque. Chaque véhicule est identifié par sa marque, son modèle, sa couleur et des détails comme un pare-chocs fissuré ou une vignette de stationnement. Les agents consultent ces informations en langage clair, en saisissant par exemple « berline bleue, pare-chocs fissuré », ou ajoutent des plaques spécifiques à une liste d'alerte, signalant ainsi toute correspondance sur l'ensemble du réseau.

Un rapport récent apporte un nouvel éclairage. Des chercheurs indépendants, examinant les nouvelles caméras Condor de Flock (des modèles motorisés conçus pour suivre les personnes plutôt que les véhicules), ont découvert des termes de recherche visant à localiser des individus et des images d'une caméra suivant automatiquement un piéton. Ce constat est important pour tout chef d'entreprise qui suppose qu'une politique de « suivi des véhicules uniquement » signifie exactement ce qu'elle affirme. La collecte de données se développe discrètement au fil du temps, y compris au sein de votre entreprise, non pas par intention malveillante, mais simplement parce qu'une fonctionnalité pratique s'active facilement et finit par être oubliée.

Un petit pas pour votre entreprise :

• Lors de l'installation d'une caméra, d'un capteur ou d'un appareil connecté, vérifiez quelles données il collecte au-delà de sa fonction première. Assurez-vous ensuite que les paramètres d'administration correspondent à vos besoins et n'acceptez pas les paramètres par défaut du fabricant. Cette simple vérification permet d'éviter qu'un outil utile ne collecte des données que vous n'avez jamais souhaité stocker.

Le plus grand risque réside dans les appareils exposés

Des chercheurs ont découvert des dizaines de caméras Flock diffusant des vidéos en direct sur Internet sans mot de passe ni chiffrement. Quiconque trouvait le lien pouvait visionner les images en direct ou télécharger jusqu'à trente jours d'enregistrements archivés, et certains flux donnaient même accès aux interfaces d'administration. Une fois à l'intérieur d'un appareil vulnérable, un attaquant obtient des capacités bien plus importantes que le simple visionnage. Un tel accès lui permet de récupérer des enregistrements, d'installer un logiciel malveillant ou d'utiliser l'appareil pour contrôler le trafic réseau.

Cela illustre une leçon que nous enseignons dans chaque formation CyberHoot. Un seul paramètre faible détermine le niveau de sécurité de l'ensemble de l'appareil. Un mot de passe par défaut, un port ouvert (une porte d'accès réseau laissée accessible) ou une mise à jour du firmware non effectuée rendent un outil précieux vulnérable à toute personne mal intentionnée. Que l'appareil coûte 200 dollars ou soit connecté au réseau de votre entreprise, la solution reste la même : modifier les identifiants par défaut, maintenir le logiciel à jour et vérifier qui dispose d'un accès distant.

Un petit pas pour votre entreprise :

• Effectuez une analyse de vulnérabilité externe sur vos appareils connectés à Internet deux fois par an et à chaque nouvelle mise en service. Ce contrôle automatisé signale les vulnérabilités connues, les correctifs manquants et les configurations faibles ou par défaut, vous fournissant ainsi une liste claire et abordable des éléments à corriger avant qu'une personne extérieure ne les découvre.
• Assurez-vous que chaque mot de passe reste unique et protégé par l'authentification multifacteurs (MFA, une deuxième étape de connexion comme un code ou l'approbation d'une application), ou mieux encore, adoptez les clés d'accès lorsque vos outils les prennent en charge. Les clés d'accès remplacent les mots de passe par une connexion basée sur l'appareil qui résiste au phishing et au vol d'identifiants.

Le partage de données mérite également un second examen.

Les contrats Flock incluent souvent une fonctionnalité de partage des données des caméras avec des agences à l'échelle nationale, parfois sans connaissance du terrain. Une option activée par défaut, appelée « Recherche nationale », permet aux agences de tout le pays de consulter les données des caméras locales. Plusieurs municipalités n'ont découvert que des agences extérieures avaient consulté leurs systèmes qu'après avoir déposé des demandes d'accès aux documents administratifs. Une ville de l'Oregon a ainsi constaté que sa base de données avait été consultée 279 fois au cours des trois premières semaines d'un programme pilote.

Chaque année, les petites entreprises signent des contrats avec des fournisseurs de logiciels, d'outils de sécurité et de services cloud. Rares sont les dirigeants qui lisent attentivement les clauses de partage des données. L'exemple de Flock nous rappelle l'importance de se poser une question simple avant de signer quoi que ce soit : où vont nos données une fois qu'elles quittent nos locaux, et qui d'autre y a accès ?

Un petit pas pour votre entreprise :

• Ajoutez une ligne à votre liste de contrôle des fournisseurs : demandez directement à chaque fournisseur avec qui il partage vos données et exigez une réponse écrite. Une trace écrite claire transforme une promesse vague en un engagement ferme.
• Conservez la politique de confidentialité de chaque fournisseur et analysez-la avec un modèle d'IA pour vérifier qu'elle protège vos données, les exclut de l'entraînement du modèle et définit des règles claires concernant leur stockage, leur suppression et leur utilisation. Vous obtiendrez ainsi un résumé clair et concis, transformant un texte juridique complexe en une documentation facile à consulter en quelques minutes. Gardez ces documents pour référence ultérieure.

Comment vérifier ce qui se trouve à proximité de vous

Une carte collaborative permet de vérifier facilement si ces caméras fonctionnent dans votre quartier. DeFlock.me propose une carte interactive mise à jour à partir de signalements publics ; vous pouvez effectuer une recherche par ville ou code postal et cliquer sur un marqueur pour obtenir des informations, comme l’organisme gestionnaire. La carte étant réalisée manuellement par des bénévoles, une zone vide ne signifie pas forcément qu’il n’y a pas de caméras, surtout dans les zones rurales moins surveillées.

Repérer une caméra est tout aussi simple. Cherchez un petit boîtier noir fixé sur un poteau métallique ou électrique, généralement près d'un carrefour, d'une entrée de ville ou d'une zone scolaire, avec un panneau solaire sur le dessus.

Votre prochaine étape

Vous n'avez pas besoin d'un budget sécurité digne d'un commissariat pour progresser réellement. Choisissez dès aujourd'hui un appareil connecté à Internet dans votre bureau. Vérifiez son mot de passe (mettez-le à jour et enregistrez-le dans votre gestionnaire de mots de passe si nécessaire), assurez-vous que son logiciel est à jour et notez qui y a accès (vous vous souvenez de votre gestionnaire de mots de passe ?). Cette simple action permet à votre entreprise de passer d'une approche réactive à une approche proactive, et ne vous coûte que dix minutes par jour. Adopter des pratiques plus sûres dès aujourd'hui, c'est le début de bonnes habitudes de sécurité. Lancez-vous !

---

Sources:

• ZDNET : 90 000 caméras Flock ont ​​été discrètement installées aux États-Unis : que surveillent-elles et comment vérifier votre ville ?

Questions courantes

Que collectent réellement les caméras de lecture de plaques d'immatriculation Flock ?

Les caméras Flock enregistrent bien plus qu'un simple numéro d'immatriculation. Chaque véhicule est identifié par sa marque, son modèle, sa couleur et des détails comme un pare-chocs fissuré ou une vignette de stationnement, informations que les agents consultent en langage clair. Les modèles Condor plus récents sont des caméras motorisées (panoramique, inclinaison et zoom) conçues pour le suivi des personnes plutôt que des véhicules.

Comment puis-je vérifier si mes appareils professionnels sont exposés à Internet ?

Effectuez une analyse de vulnérabilité externe sur vos appareils connectés à Internet deux fois par an et à chaque nouvelle mise en service. Ce contrôle automatisé signale les vulnérabilités connues, les correctifs manquants et les configurations faibles ou par défaut, vous fournissant ainsi une liste claire et abordable des éléments à corriger avant qu'une personne extérieure ne les découvre.

Quelles questions dois-je poser à un fournisseur concernant la manière dont il gère mes données ?

Ajoutez une ligne à votre liste de vérification des fournisseurs : demandez directement à chaque fournisseur avec qui il partage vos données et exigez une réponse écrite. Conservez la politique de confidentialité de chaque fournisseur et assurez-vous qu’elle protège vos données, les exclut de l’entraînement des modèles et définit des règles claires concernant leur stockage, leur suppression et leur utilisation.

Comment savoir si des caméras Flock sont installées à proximité de mon entreprise ?

Utilisez DeFlock.me, une carte interactive collaborative qui vous permet de rechercher par ville ou code postal et de toucher un marqueur pour obtenir des informations comme l'organisme responsable. Comme la carte est créée manuellement par des bénévoles, une zone vide ne signifie pas forcément qu'il n'y a pas de caméras, surtout en zone rurale.

Pourquoi l'histoire de la caméra Flock est-elle importante pour le droit à la vie privée ?

Le réseau Flock enregistre les déplacements des véhicules, qu'une infraction soit suspectée ou non, et stocke cet historique dans une base de données consultée par de nombreux organismes, souvent sans véritable contrôle. Le droit à la vie privée repose sur la transparence : chacun doit savoir qui collecte ses informations, où elles sont stockées et pendant combien de temps. Poser ces questions et soutenir des règles claires en matière de partage et de conservation des données permet de garder le contrôle entre les mains du public, et non entre celles du détenteur du flux de données.

---

Sécurisez votre entreprise avec CyberHoot dès aujourd'hui !