Investigadores de seguridad descubrieron que la Policía de San Francisco (SFPD) filtró durante al menos seis meses, sin autenticación alguna, las imágenes en directo de cinco de sus drones de vigilancia a través de un enlace público en el sitio web del fabricante Skydio. El enlace, generado en diciembre del año pasado con una caducidad de un año y sin código de acceso, acabó indexado en AlienVault Open Threat Exchange, una plataforma abierta de inteligencia de amenazas.
Los analistas Sam Curry y Maik Robert, tras detectarlo, lo notificaron a Skydio, que lo desconectó a los pocos días. Antes de hacerlo, archivaron unas 48 horas de emisiones a mediados de junio: 60 vídeos de 20 vuelos, con tres flujos por misión (cámara en color, térmica y base de aterrizaje), más de 5.000 puntos GPS a lo largo de 44 millas, y los nombres y correos electrónicos de seis pilotos de la SFPD. Los vídeos muestran dos retenciones forzadas, una entrada policial en un edificio de apartamentos y un registro en un callejón habitado por personas sin hogar, además del seguimiento aéreo de vehículos y sospechosos.
Skydio, con sede en San Mateo, es uno de los principales fabricantes de drones para fuerzas de seguridad en EE UU. La SFPD autorizó el programa de drones en 2024 y, desde entonces, la flota ha pasado de seis a 98 aparatos, con más de 1.400 lanzamientos registrados entre mayo de 2024 y marzo de 2026, según un informe anual del cuerpo. El departamento asegura que el enlace era de uso interno y fue accedido "sin autorización", aunque los investigadores subrayan que no saltaron ninguna autenticación. La SFPD afirma haber reforzado los protocolos de compartición y que no tiene constancia de que terceros hayan visto la emisión.