JBNews.id — Kepolisian San Francisco (SFPD) secara tidak sengaja membocorkan siaran langsung video dari lima drone pengawasnya ke internet publik selama lebih dari enam bulan, memperlihatkan puluhan operasi penangkapan dan pengintaian warga tanpa sepengetahuan mereka.
Kebocoran ini ditemukan oleh dua peneliti keamanan siber, Sam Curry dan Maik Robert, yang menemukan tautan publik yang mengekspos semua rekaman real-time dari lima drone Skydio milik SFPD, termasuk video warna dan termal, data lokasi, serta nama dan alamat email pilot drone. Tautan tersebut dapat diakses oleh siapa pun yang menemukan alamat web tempat video dihosting.
Curry dan Robert melaporkan temuan mereka kepada Skydio sekitar dua hari setelah menemukannya, dan tautan tersebut segera ditutup. Namun, selama periode terekspos, para peneliti menyaksikan polisi melakukan beberapa penangkapan dan penggeledahan, serta melacak mobil dan individu dari udara. “Ada kepercayaan tertentu yang diberikan kepada polisi untuk menggunakan alat ini dengan benar,” ujar Curry. “Saat Anda menonton siaran langsung drone, Anda bisa melihat ke lusinan apartemen berbeda, melihat polisi memperbesar gambar orang, melihat penangkapan. Fakta bahwa semua ini terekspos terasa seperti masalah besar dari perspektif privasi.”
Rekaman yang bocor menangkap dua penahanan paksa, kunjungan polisi ke sebuah apartemen di gedung bertingkat, dan penggeledahan di gang yang dihuni tunawisma, serta berbagai insiden lain di mana polisi menggunakan drone untuk mengawasi individu, kendaraan, atau bangunan. Saat siaran masih berlangsung, Curry dan Robert mulai mengarsipkan data dan video publik tersebut dan kemudian membagikan hasilnya ke WIRED.
Arsip yang dikumpulkan Curry dan Robert mencakup catatan rinci operasi drone SFPD selama sekitar 48 jam pada pertengahan Juni. Arsip tersebut berisi 60 video dari 20 penerbangan terpisah, dengan setiap misi direkam dari tiga sudut: kamera warna, kamera termal yang menampilkan orang sebagai tanda panas, dan tampilan ketiga dari dok atap drone.
Ribuan Warga Terekam Drone Polisi
WIRED menganalisis semua 20 video warna dengan perangkat lunak yang mendeteksi orang, kendaraan, dan objek lain dalam gambar. Hasil analisis menemukan bahwa kamera telah merekam ratusan orang dan kendaraan dalam 20 penerbangan tersebut. Dalam satu bingkai, saat drone melayang di atas persimpangan pusat kota, perangkat lunak menghitung 34 orang yang menyeberang jalan atau berdiri di trotoar. Di semua video, rekaman menunjukkan wajah jelas dari puluhan orang.
Secara keseluruhan, video tersebut berjumlah lebih dari tiga jam rekaman udara berwarna dan jumlah yang hampir sama untuk rekaman termal. Arsip tersebut juga mencakup data telemetri detik demi detik untuk setiap penerbangan—lebih dari 5.000 titik GPS yang melacak jarak tempuh sekitar 44 mil—mencatat garis lintang dan bujur, ketinggian, kecepatan, arah, dan level baterai setiap drone dari lepas landas hingga mendarat. Enam nama pilot SFPD dan alamat email mereka juga muncul di seluruh data log.
Skydio, yang berbasis di San Mateo, adalah salah satu perusahaan drone Amerika terkemuka yang menjual ke departemen kepolisian, pemadam kebakaran, lembaga pemerintah, dan militer. Drone X10 miliknya merupakan bagian dari program drone SFPD yang dimulai pada tahun 2024 dan diotorisasi untuk pengejaran kendaraan dan penyelidikan kriminal aktif. Sejak itu, program ini berkembang pesat: armada SFPD bertambah dari enam drone menjadi 98, dan petugas mencatat lebih dari 1.400 peluncuran antara Mei 2024 dan Maret 2026.
Kota ini mempertahankan portal transparansi yang mempublikasikan informasi tentang penerbangan drone polisi, termasuk log, setelah terjadi—tanpa video. Tautan yang ditemukan Curry dan Robert bukan bagian dari sistem transparansi tersebut.
Kesalahan Konfigurasi Tautan Drone
Curry dan Robert mengatakan video drone terekspos bukan karena kesalahan dari pihak Skydio, melainkan karena apa yang tampaknya merupakan penyalahgunaan perangkat lunak Skydio oleh SFPD. Skydio memungkinkan pengguna untuk membuat tautan yang dapat dibagikan ke video atau akses ke aliran data drone secara real-time, yang dikenal sebagai ReadyLinks, dengan kemampuan untuk membatasi akses ke pengguna dengan kode autentikasi atau tanggal kedaluwarsa.
Seseorang dengan akses ke instance perangkat lunak Skydio milik SFPD, bagaimanapun, tampaknya telah membuat tautan pada bulan Desember lalu ke lima umpan drone tanpa persyaratan autentikasi dan tanggal kedaluwarsa satu tahun penuh. Tautan itu kemudian entah bagaimana ditambahkan ke koleksi sumber terbuka arsip URL web yang dikenal sebagai AlienVault Open Threat Exchange, biasanya digunakan oleh peneliti keamanan, tempat Curry dan Robert menemukannya. Dengan kata lain, tautan tersebut tampaknya telah mengekspos umpan drone selama enam bulan pada saat itu, tanpa jaminan bahwa Curry dan Robert adalah satu-satunya yang menonton.
Ketika WIRED menghubungi SFPD, mereka menanggapi dengan pernyataan yang menyebut tautan video drone yang terekspos sebagai “tautan internal terbatas yang hanya untuk tujuan penegakan hukum SFPD,” yang “memungkinkan SFPD untuk berkoordinasi dalam operasi penegakan hukum dan keselamatan publik,” dan bahwa tautan itu telah “diperoleh dan diakses secara tidak sah oleh individu tanpa otorisasi.” (Curry dan Robert menunjukkan bahwa mereka tidak melewati keamanan atau autentikasi apa pun untuk mengakses aliran data, yang merupakan definisi hukum umum dari “akses tidak sah.”)
“Setelah mengetahui kerentanan tersebut, SFPD telah menerapkan protokol berbagi yang lebih ketat untuk memastikan individu yang tidak berwenang tidak akan dapat mengakses rekaman kami,” lanjut pernyataan itu. “Saat ini, kami tidak memiliki informasi bahwa individu lain mengakses siaran langsung drone. Masalah ini masih dalam penyelidikan.” Skydio tidak menanggapi permintaan komentar WIRED.
Privasi Warga Terancam Drone Tak Terlihat
Dalam rekaman yang ditinjau WIRED, drone menangkap momen dramatis seperti polisi mengejar dan menahan target pengawasan udara. Dalam video lain, petugas terlihat melalui jendela apartemen di gedung bertingkat, yang oleh catatan polisi digambarkan sebagai investigasi “cek kesejahteraan” atau “orang hilang” dalam penerbangan drone berbeda yang merekam insiden yang sama. Di video lain, polisi terlihat berbicara dengan tunawisma di sebuah gang, yang oleh catatan polisi digambarkan sebagai investigasi “orang dengan pisau.”
Penampilan tidak berbahaya dari banyak video menimbulkan pertanyaan tentang apakah pengawasan itu diperlukan. Dalam satu panggilan terkait “auto boost/strip,” drone mengikuti dua pria muda di mobil mereka, setidaknya satu di antaranya digambarkan dalam catatan polisi sebagai “orang mencurigakan di dalam kendaraan.” Kemudian kedua pria itu muncul ke lapangan basket dan mulai bermain, dan drone pergi. Sebuah penerbangan drone sebagai respons terhadap investigasi “orang dengan senjata” tampaknya terfokus pada seorang pria yang tampak mabuk membungkuk di trotoar. Drone lain, dipanggil sebagai respons terhadap insiden “pengintai,” melayang di atas seorang muda yang memakai headphone dan duduk di atap gedung, memperbesar gambar mereka, lalu terbang menjauh.
“Yang itu terasa seperti pelanggaran privasi, sangat tidak nyaman,” kata Curry. “Seperti orang ini berpikir mereka sendirian di atap ini dan telah menjauh dari semua orang, dan kemudian ada drone polisi yang mengawasi mereka.” Dalam pernyataannya, SFPD mencatat bahwa mereka mematuhi “kebijakan ketat” seputar penggunaan drone, dan bahwa “drone hanya dapat digunakan untuk membantu investigasi kriminal aktif, untuk membantu atau menggantikan pengejaran kendaraan, dan untuk latihan.”
Fakta bahwa begitu banyak rekaman drone San Francisco berpotensi terekspos secara online adalah “mengejutkan, tetapi tidak mengejutkan,” kata Jay Stanley, analis kebijakan senior dengan ACLU Speech, Privacy, and Technology Project yang fokus pada pengawasan dan privasi drone. Video-video tersebut, katanya, menunjukkan mengapa advokat privasi menganggap data pengawasan penegakan hukum sebagai “aset beracun” yang selalu berisiko mengalami pelanggaran keamanan, dan merekomendasikan meminimalkan data dan video yang direkam dan disimpan dari penerbangan drone. “Itu berarti tidak merekam ketika Anda tidak perlu merekam,” kata Stanley.
Kebijakan drone SFPD mengatakan operator harus menjaga kamera tetap terfokus pada area yang diperlukan untuk misi dan meminimalkan pengumpulan data yang tidak disengaja tentang orang atau tempat yang tidak terlibat. Kebijakan tersebut juga menginstruksikan operator untuk mengambil tindakan pencegahan yang wajar, termasuk memalingkan kamera, untuk menghindari secara tidak sengaja merekam atau mentransmisikan gambar tempat-tempat di mana orang memiliki ekspektasi privasi yang wajar. Namun, umpan Skydio yang terekspos yang ditinjau oleh WIRED menunjukkan misi penuh dari lepas landas hingga mendarat, menangkap tidak hanya penahanan dan penggeledahan, tetapi juga jalan, gedung apartemen, atap, mobil, halaman, dan pengamat yang tampaknya bukan subjek dari operasi polisi mana pun.
“Menonton video-video ini, itu hanya pengingat betapa kuatnya teknologi ini, dan seberapa banyak kehidupan kota yang tersapu dalam video-video ini,” kata Stanley. Potensi pelanggaran privasi berdasarkan koleksi video yang luas itu hanya menjadi lebih besar di era AI, catatnya. “Mungkin tidak ada manusia yang punya waktu untuk meneliti setiap bingkai video ini, tetapi AI bisa melakukannya, dan itu dapat diskalakan ke sejumlah besar video,” kata Stanley.
Setelah setiap misi, kebijakan SFPD mengatakan, rekaman drone harus ditinjau untuk nilai bukti dan diunggah ke database bukti digital departemen; rekaman tanpa nilai bukti harus dihapus dalam waktu 30 hari. Karena URL yang ditemukan Robert dan Curry membuat data drone real-time tersedia tetapi bukan data historis, tidak jelas apakah video yang terekspos melanggar kebijakan itu.
Curry dan Robert terkesan oleh fakta bahwa, di semua video yang mereka tonton, tidak ada yang pernah melihat ke atas ke drone atau berusaha bersembunyi darinya—mungkin bukti bahwa, mengingat ukuran dan ketinggiannya, kamera terbang hampir tidak terlihat oleh target pengawasan mereka. “Anda hanya menonton dari atas, dan tidak ada yang sadar bahwa drone itu ada di sana,” kata Curry. “Rasanya agak menyeramkan.”
Curry mengatakan menonton video telah mengubah rasa privasinya sendiri saat dia berjalan di sekitar kota Amerika—atau, setidaknya, San Francisco. “Ini adalah pertama kalinya saya melihat drone digunakan di kota seperti ini, dan melihat jalan-jalan ini, itu adalah jalan yang sama yang saya lalui saat berkunjung,” katanya. “Saya kira itu membuat saya merasa lebih diamati.”
Implikasi dari kebocoran ini sangat luas. Untuk warga San Francisco dan kota-kota lain yang mengadopsi teknologi serupa, insiden ini menunjukkan bahwa data pengawasan drone yang seharusnya aman dapat terekspos karena kesalahan konfigurasi manusia, bukan kegagalan teknis. Tidak ada jaminan bahwa hanya Curry dan Robert yang mengakses tautan tersebut selama enam bulan terekspos, yang berarti aktivitas polisi dan warga yang terekam mungkin telah disaksikan oleh pihak yang tidak bertanggung jawab.
