Sprawę odkryli badacze bezpieczeństwa, Sam Curry i Maik Robert, którzy natrafili na publicznie dostępny adres URL w serwisie AlienVault Open Threat Exchange. Przez około 48 godzin w połowie czerwca badacze monitorowali i archiwizowali strumień danych, który zawierał 60 nagrań z 20 różnych misji. Po zgłoszeniu luki firmie Skydio, producentowi dronów, dostęp do transmisji został zablokowany.
Skala inwigilacji i charakter działań
Analiza zgromadzonego materiału ujawnia, jak szeroko zakrojone są działania policji z wykorzystaniem bezzałogowców. W ciągu zaledwie godziny jeden z podejrzanych był śledzony przez cztery różne drony, które koordynowały swoje działania, aby utrzymać go w zasięgu wzroku, nawet gdy próbował ukryć się za zaparkowanym samochodem. Nagrania dokumentują m.in. zatrzymania, przeszukania w zaułkach oraz interwencje w budynkach mieszkalnych.
There’s a certain trust given to the police to use these things correctly. When you’re watching a drone feed live, you can look into dozens of different apartments, you can see police zooming in on people, you can see arrests. The fact that all of this was exposed feels like a really big issue from a privacy perspective. – Sam Curry, badacz bezpieczeństwa.
Wśród zarejestrowanych materiałów znalazły się sytuacje budzące wątpliwości co do proporcjonalności użytych środków. Drony śledziły osoby, które ostatecznie nie brały udziału w żadnych przestępstwach, w tym młodych ludzi grających w koszykówkę czy osobę siedzącą na dachu budynku. W jednym z przypadków oprogramowanie analityczne wykryło w pojedynczej klatce nagrania 34 osoby znajdujące się w przestrzeni publicznej.
Przyczyny i konsekwencje incydentu
Według ustaleń badaczy, wyciek nie był wynikiem błędu technicznego po stronie producenta, lecz niewłaściwej konfiguracji oprogramowania przez samą policję. Funkcja ReadyLink, pozwalająca na udostępnianie obrazu z dronów, została użyta do stworzenia linku bez zabezpieczeń, który miał pozostać aktywny przez rok. Policja w San Francisco twierdzi, że był to wewnętrzny kanał komunikacji, który został „nieprawidłowo uzyskany i wykorzystany przez osoby nieuprawnione”.
Program dronów SFPD, uruchomiony w 2024 roku, rozwija się w szybkim tempie. Obecnie flota liczy 98 jednostek, a w okresie od maja 2024 do marca 2026 roku wykonano ponad 1400 lotów. Choć miasto posiada portal transparentności, publikowane są tam jedynie logi z lotów, a nie materiały wideo.
Wyzwania dla prywatności w erze dronów
Eksperci ds. prywatności wskazują, że incydent ten potwierdza obawy dotyczące gromadzenia danych przez służby. Jay Stanley z ACLU podkreśla, że każde nagranie z drona jest „toksycznym aktywem”, które niesie ze sobą ryzyko wycieku. W dobie sztucznej inteligencji, która pozwala na błyskawiczną analizę tysięcy godzin nagrań, skala zagrożenia dla prywatności obywateli drastycznie rośnie.
Obecnie SFPD prowadzi dochodzenie w sprawie wycieku i zapowiada wdrożenie bardziej restrykcyjnych protokołów udostępniania danych. Mimo to, przypadek ten pozostaje przestrogą dotyczącą tego, jak łatwo nowoczesne technologie nadzoru mogą wymknąć się spod kontroli, czyniąc życie prywatne mieszkańców przedmiotem publicznego wglądu.