Dans tout l’Ouzbékistan, un réseau d’une centaine de caméras routières haute résolution scanne en permanence les plaques d’immatriculation des véhicules et de leurs occupants, parfois des milliers par jour, à la recherche d’éventuelles infractions au code de la route. Voitures aux feux rouges ; les conducteurs ne portent pas leur ceinture de sécurité ; et les véhicules sans permis circulant la nuit, pour n’en nommer que quelques-uns.
Le conducteur de l’un des véhicules les plus surveillés du système a été suivi pendant six mois alors qu’il se déplaçait entre la ville orientale de Chirchiq, en passant par la capitale Tachkent, et dans la colonie voisine d’Eshonguzar, souvent plusieurs fois par semaine.
Nous le savons parce que le vaste système de surveillance des plaques d’immatriculation du pays a été exposé à Internet.
Le chercheur en sécurité Anurag Sen, qui a découvert la faille de sécurité, a trouvé le système de surveillance des plaques d’immatriculation exposé en ligne sans mot de passe, permettant à quiconque d’accéder aux données qu’il contient. On ne sait pas depuis combien de temps le système de surveillance est public, mais des artefacts du système montrent que sa base de données a été créée en septembre 2024 et que la surveillance du trafic a commencé à la mi-2025.
Cette exposition offre un rare aperçu du fonctionnement de ces systèmes nationaux de surveillance des plaques d’immatriculation, des données qu’ils collectent et de la manière dont ils peuvent être utilisés pour localiser l’une des millions de personnes à travers un pays entier.
Cette faille révèle également les risques de sécurité et de confidentialité associés à la surveillance massive des véhicules et de leurs propriétaires, à un moment où les États-Unis développent leur gamme nationale de lecteurs de plaques d’immatriculation, dont beaucoup sont fournis par le géant de la surveillance Flock. Plus tôt cette semaine, le média indépendant 404 Media a rapporté que Flock avait laissé des dizaines de ses propres caméras de lecture de plaques d’immatriculation exposées publiquement sur le Web, permettant à un journaliste de se voir suivi en temps réel par une caméra Flock.
Sen a déclaré avoir trouvé le système de surveillance des plaques d’immatriculation ouzbeks exposé plus tôt ce mois-ci et a partagé les détails de la faille de sécurité avec TechCrunch. Sen a déclaré à TechCrunch que la base de données du système révèle les emplacements réels des caméras et contient des millions de photos et des séquences vidéo brutes de caméras de véhicules qui passent.
Le système est géré par le Département de la sécurité publique du ministère de l’Intérieur de l’Ouzbékistan à Tachkent, qui n’a pas répondu aux courriels sollicitant des commentaires sur les failles de sécurité en décembre.
Les représentants du gouvernement ouzbek à Washington DC et à New York n’ont pas non plus répondu aux courriels de TechCrunch concernant cette révélation. L’équipe de préparation aux urgences informatiques de l’Ouzbékistan, UZCERT, n’a pas répondu à une alerte concernant le système, à l’exception d’un accusé de réception automatique de notre courrier électronique.
Le système de surveillance reste exposé au Web au moment de la rédaction.
Le système se présente comme un « système de gestion du trafic intelligent » de Maxvision, un fabricant basé à Shenzhen, en Chine, de technologies de trafic connecté à Internet, de systèmes d’inspection aux frontières et de produits de surveillance. Dans une vidéo sur LinkedIn, l’entreprise affirme que ses caméras peuvent enregistrer « l’intégralité du processus illégal » et « afficher des informations illégales et transmissibles en temps réel ».
Selon sa brochure, Maxvision exporte ses technologies de sécurité et de surveillance dans des pays du monde entier, notamment au Burkina Faso, au Koweït, à Oman, au Mexique, en Arabie Saoudite et en Ouzbékistan.
L’analyse par TechCrunch des données à l’intérieur du système exposé a révélé au moins une centaine de caméras situées dans les principales villes ouzbèkes, ainsi que dans des carrefours très fréquentés et d’autres voies de transit importantes.
Nous avons tracé les coordonnées GPS des caméras et trouvé des banques de lecteurs de plaques d’immatriculation à Tachkent, dans les villes de Jizzakh et Qarshi au sud et à Namangan à l’est. Certaines caméras sont situées dans des zones rurales, par exemple sur les routes proches des zones autrefois contestées de la frontière entre l’Ouzbékistan et le Tadjikistan.
À Tachkent, la plus grande ville du pays, les caméras sont réparties dans plus d’une douzaine d’endroits. Certaines de ces caméras sont même visibles sur Google Street View.
Les caméras, dont certaines filigranent leurs images avec le nom du fabricant de caméras singapourien Holowits, capturent des séquences vidéo et des images fixes de véhicules violant les règles en résolution 4K.
Le système exposé permet d’accéder à son interface Web, qui contient un tableau de bord permettant aux opérateurs d’examiner les images des infractions au code de la route. Le tableau de bord contient des photos agrandies et des séquences vidéo brutes des violations, ainsi que des véhicules environnants. (TechCrunch a rédigé les plaques d’immatriculation et les occupants du véhicule avant la publication.)
La découverte du système national de lecture des plaques d’immatriculation de l’Ouzbékistan est le dernier exemple en date d’une faille de sécurité impliquant des caméras de surveillance routière.
Plus tôt cette année, Wired a signalé que plus de 150 lecteurs de plaques d’immatriculation aux États-Unis et les données en temps réel sur les véhicules qu’ils collectent étaient exposés à Internet sans aucune sécurité.
Les lecteurs de plaques d’immatriculation exposés ne sont pas un phénomène nouveau. En 2019, TechCrunch a signalé que plus d’une centaine de lecteurs de plaques d’immatriculation étaient consultables et accessibles depuis Internet, permettant à quiconque d’accéder aux données qu’ils contiennent. Certains étaient exposés depuis des années, bien que les chercheurs en sécurité aient averti les forces de l’ordre que ces systèmes étaient accessibles depuis le Web.
Pour contacter ce journaliste en toute sécurité, vous pouvez le contacter en utilisant Signal via le nom d’utilisateur : zackwhittaker.1337.
